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Resumen 


La globalización de la economía ha traído consigo un incremento de la cooperación 
administrativa entre las autoridades fiscales de distintos Estados a fin de luchar contra la 
evasión de impuestos y el fraude fiscal. Esta cooperación se ha centrado fundamentalmente 
en el intercambio de información con relevancia fiscal, especialmente en los últimos años, 
en el intercambio automático de información financiera. En todo este proceso, los derechos 
y garantías del contribuyente han quedado un poco al margen, por lo que, especialmente, el 
derecho a la protección de datos personales se está convirtiendo, a través de la jurispru- 
dencia del Tribunal de Justicia de la Unión Europea y del Tribunal Europeo de Derechos 
Humanos, en el baluarte de la protección del contribuyente sujeto a estos intercambios de 
información entre administraciones tributarias. Pretendemos, por tanto, ofrecer una visión 
de esta tutela de los dos altos tribunales europeos en relación con la protección de datos del 
contribuyente en aquellos asuntos de carácter tributario sobre los que ya se han ido pro- 
nunciando. 
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Abstract 


The globalization of the economy has brought with it an increase in administrative 
cooperation between the tax authorities of different States in order to fight against tax eva- 
sion and tax fraud. This cooperation has focused mainly on the exchange of information 
with fiscal relevance, especially in recent years, in the automatic exchange of financial 
information. Throughout this process, the rights and guarantees of the taxpayer have been 
left aside, so, especially, the right to the protection of personal data is being converted, 
through the jurisprudence of the Court of Justice of the European Union and of the Europe- 
an Court of Human Rights, in the bulwark of taxpayer protection subject to these exchanges 
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of information between tax administrations. We intend, therefore, to offer a vision of this 
protection of the two high European courts in relation to the protection of data of the tax- 
payer in those matters of a tax nature on which they have already been pronounced. 
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L INTRODUCCIÓN 


N los últimos años estamos asistiendo a un crecimiento exponencial de la coo- 

peración administrativa de las autoridades fiscales a nivel internacional. Para 
ello se están creando nuevos instrumentos jurídicos que promueven, amparan y 
regulan esta cooperación, especialmente, por lo que al intercambio de información 
entre las autoridades fiscales de los distintos Estados respecta, y se están reforzan- 
do, en el mismo sentido, los instrumentos jurídicos de los que ya se disponía, espe- 
cialmente, en el ámbito de la asistencia mutua en materia tributaria (1). 

En el ámbito de la Unión Europea el instrumento clave al respecto es la Direc- 
tiva 2011/16/UE, del Consejo, de 15 de febrero de 2011, relativa a la cooperación 
administrativa en el ámbito de la fiscalidad y por la que se deroga la Directiva 
T7/799/CEE (2). Los considerandos del preámbulo de esta Directiva no dejan lugar 
a dudas respecto a la problemática que plantea la aplicación del sistema tributario 
en un escenario como el actual, dominado por la llamada globalización económica, 
cuando señalan que «sin contar con la información facilitada por otros Estados 
miembros, un Estado miembro, por sí solo, no puede gestionar el sistema tributa- 
rio nacional» (3). Y es que la información económica, la información de contenido 


(1) Como destaca SÁNCHEZ LóPEZ, M. E., «El problema de la protección del contribuyente en 
el ámbito del intercambio automático de información entre Estados», Rivista de Diritto Tributario 
Internazionale, núm. 1/2018, p. 5, «el reforzamiento de la cooperación entre Estados se ha materiali- 
zado en los últimos años en un conjunto de iniciativas que hacen posible hablar de nuevo impulso 
otorgado a la asistencia mutua que se ha concretado en la instauración (todavía no concluida) de lo que 
se ha denominado estándar automático de intercambio de información». 

(2) Publicada en el Diario Oficial de la Unión Europea (en adelante, DOUE) de 11 de marzo 
de 2011. 

(3) Como ha destacado García PRATS, F. A., Cooperación Administrativa Internacional en 
Materia Tributaria. Derecho Tributario Global, Documento núm. 3/2007, Instituto de Estudios Fisca- 
les, Madrid, 2007, pp. 5-6, el proceso de globalización económica exige la superación de la concep- 
ción tradicional de soberanía respecto a lo que al poder tributario se refiere y exige una perspectiva de 
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patrimonial, esto es, la información con «trascendencia tributaria» o, en términos 
de la Directiva, la información con «pertinencia previsible» para la aplicación del 
sistema fiscal es como la savia, cuya circulación por las distintas y variadas ramas 
que constituyen, en su conjunto, el árbol de las administraciones tributarias, es la 
que permite realizar adecuadamente su función a estas ramas o administraciones 
tributarias, en términos de eficacia (4). Igual que el árbol reverdece y da sus frutos 
cuando la savia circula por sus ramas, así las distintas administraciones dan abun- 
dantes frutos en términos recaudatorios cuando circula fluidamente la información 
con trascendencia tributaria entre ellas (5). 

La Directiva establece, al respecto, tres modalidades de intercambio de infor- 
mación con relevancia fiscal entre Estados: intercambio previo requerimiento, 
intercambio automático de información e intercambio espontáneo de informa- 
ción (6). Las modificaciones posteriores de la Directiva 2011/16/UE (a la que 
podemos llamar Directiva 1 de cooperación administrativa en materia fiscal) han 
ido en la línea, fundamentalmente, de incrementar el ámbito y operatividad del 
intercambio automático de información entre autoridades fiscales, en consonancia 
con el movimiento internacional en este sentido impulsado a raíz sobre todo de la 
aprobación de la normativa estadounidense sobre cumplimiento tributario de las 
cuentas financieras situadas en el extranjero, la llamada Foreign Account Tax Com- 
pliance Act (en adelante, FATCA) (7), y de los trabajos de la Organización para la 


«Derecho tributario global» que integra los efectos de la realidad socioeconómica internacional sobre 
el Derecho tributario, pues, según sus palabras, «la definición de las políticas tributarias y su plasma- 
ción en determinadas medidas y normas tributarias no pueden resultar ajenas a los efectos que las 
mismas provocan sobre la realidad económica internacional. Del mismo modo, los Estados deben 
tener presente la evolución de los sistemas tributarios de otros países por sus efectos colaterales sobre 
el propio sistema tributario y sobre la realidad económica interna e internacional». 

(4) Como ha destacado CALDERÓN CARRERO, J. M., Intercambio de información y fraude fiscal 
internacional, Centro de Estudios Financieros, Madrid, 2000, p. 75, el término información tributaria, 
esto es, el objeto del intercambio de información entre Estados, es un término muy amplio que engloba 
«tanto cuestiones de hecho, como relaciones jurídicas (...) como, por ejemplo, todo aquello que hicie- 
ra referencia a la sujeción fiscal de personas físicas o jurídicas (públicas o privadas), a la actividad 
económica de determinados sujetos, al período de residencia o estancias de una persona concreta en 
el territorio de un Estado, a cuestiones contables, cuestiones relativas al régimen jurídico (fiscal o no) 
de ciertas operaciones, rentas (calificación/sujeción) o entidades, etc.». 

(5) En estos días en los que la primavera se asoma ya incipiente al Campus, permítame el lector 
la licencia de expresar públicamente mi gratitud a las profesoras Sabela Oubiña Barbolla y Alicia 
González Alonso, directoras de este número del Anuario, que recoge, fundamentalmente, las ponen- 
cias de las Jornadas celebradas allá por noviembre sobre la tutela multinivel de los derechos funda- 
mentales, por invitarme también a aportar en la Publicación mi pequeño grano de arena en relación 
con la tutela de los contribuyentes en lo que respecta al derecho fundamental a la protección de datos. 

(6) El artículo 3 de la Directiva 2011/16/UE define en el apartado 8 lo que constituye 
intercambio de información previa petición, señalando que se trata del «intercambio de información 
basado en una solicitud efectuada por el Estado miembro requirente al Estado miembro requerido en 
un caso específico». Respecto al intercambio automático, señala el apartado 9 del mencionado artículo 
que se trata de «la comunicación sistemática a otro Estado miembro de información preestablecida, 
sin solicitud previa, a intervalos regulares fijados con anterioridad». Finalmente, en cuanto al inter- 
cambio espontáneo de información, indica el apartado 10 del susodicho artículo que se trata de «la 
comunicación no sistemática de información a otro Estado miembro en cualquier momento y sin soli- 
citud previa». 

(7) Como explican MARTÍNEZ GINER, L. A.; MORENO GONZÁLEZ, S.; LAMPREAVE MÁR- 
QUEZ, P. «Nuevo intercambio de información tributaria versus medidas tributarias de efecto equivalen- 
te». (Informe Nacional español para el Congreso de la European Association of Tax Law Proffesors 
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Cooperación y el Desarrollo Económico (OCDE) en esta materia (8). Así, la Direc- 
tiva 2014/107/UE, del Consejo, de 9 de diciembre de 2014, que modifica la Direc- 
tiva 2011/16/UE por lo que se refiere a la obligatoriedad del intercambio automáti- 
co de información en el ámbito de la fiscalidad (9), amplía el ámbito del 
intercambio automático a las cuentas financieras situadas en el extranjero y supri- 
me la condición conforme a la cual la información solo debe intercambiarse si está 
disponible (10). Por su parte, la Directiva 2015/2376/UE, del Consejo, de 8 de 
diciembre de 2015, que modifica la Directiva 2011/16/UE en lo que respecta al 
intercambio automático y obligatorio de información en el ámbito de la fiscali- 
dad (11), amplía el ámbito del intercambio automático y obligatorio de informa- 
ción fiscal a los acuerdos previos entre la Administración tributaria y los contribu- 
yentes que tengan un efecto transfronterizo así como a los acuerdos previos sobre 
precios de transferencia. La penúltima modificación de la Directiva 2011/16/UE, 
llevada a cabo por la Directiva 2016/881/UE, del Consejo, de 25 de mayo 
de 2016 (12), amplía el ámbito del intercambio automático y obligatorio de infor- 
mación fiscal a los informes «país por país» que deben elaborar cada año los grupos 
de empresas multinacionales. Finalmente, una última modificación ha sido intro- 
ducida por la Directiva (UE) 2018/822, del Consejo, de 25 de mayo de 2018 (13), 
con el objetivo de ampliar nuevamente el ámbito del intercambio automático de 
información entre autoridades fiscales para extenderlo en esta ocasión a los meca- 
nismos transfronterizos de planificación fiscal potencialmente agresiva. 

Resulta claro que la introducción del intercambio automático de información 
entre las Administraciones tributarias de los distintos Estados de la UE y el aumen- 
to progresivo del ámbito material de la información que es objeto de intercambio 
automático, que se ha ido produciendo a través de estas reformas sucesivas de la 
Directiva 2011/16/UE sobre cooperación administrativa en materia fiscal, supone 
un aumento del riesgo de violación del derecho fundamental a la protección de 


(EATLP), Istambul, 2014), en MARTÍN DÉGANO, IL; HERRERA MOLINA, P. (Coordinadores), Intercam- 
bio de información y medidas fiscales de efecto equivalente. (Jornada preparatoria del Congreso de la 
EATLP), Documento núm. 8/2014, IEF, Madrid, 2014, p. 19, el objetivo de esta normativa es «detec- 
tar, disuadir y desalentar la evasión fiscal de los contribuyentes estadounidenses que tienen cuentas en 
instituciones financieras extranjeras o realizan inversiones por medio de instrumentos de inversión 
extranjeras». 

(8) Como apuntan MARTÍNEZ GINER, L. A.; MORENO GONZÁLEZ, S.; LAMPREAVE MÁR- 
QUEZ, P., Nuevo intercambio de información tributaria..., cit., p. 8, «la OCDE sigue liderando las ini- 
ciativas y estrategias relativas a la transparencia e intercambio de información planteando constantes 
novedades relativas al intercambio de información, tales como las actualizaciones del artículo 26 
CMOCLDE, o la publicación —auspiciado por el G8— en febrero de 2014 del nuevo Standard for Auto- 
matic Exchange of Financial Account Information». 

(9) Publicada en el DOUE de 16 de diciembre de 2014. 

(10) Como señala la Directiva 2014/107/UE (a la que podemos llamar Directiva 2 de coopera- 
ción administrativa en materia fiscal), en el considerando 9 de su preámbulo, «los Estados miembros 
deben exigir a sus instituciones financieras que apliquen normas de comunicación de información y 
diligencia debida que sean perfectamente compatibles con las establecidas en el Estándar común de 
comunicación de información elaborado por la OCDE». 

(11) Publicada en el DOUE de 18 de diciembre de 2015. 

(12) Publicada en el DOUE de 3 de junio de 2016. 

(13) Publicada en el DOUE de 5 de junio de 2018. 
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datos personales del contribuyente al que va referida toda esa información objeto 
de circulación entre Estados (14). 

Todas estas medidas tendentes a la colaboración y coordinación de las autori- 
dades fiscales de los distintos Estados en torno al intercambio de información con 
relevancia tributaria tienen su razón de ser en la lucha contra la evasión y el fraude 
fiscal (15). La finalidad que inspira a todos estos instrumentos para el intercambio 
internacional de información con trascendencia tributaria no puede ser más loable, 
la lucha contra una auténtica lacra de las sociedades avanzadas, cual es la evasión 
de impuestos y el fraude fiscal, que puede poner en riesgo, como ha podido ser 
comprobado especialmente en los pasados años de crisis económica mundial, hasta 
la propia sostenibilidad del Estado del Bienestar y que, en cualquier caso, subvierte 
el orden marcado por los principios de justicia tributaria que inspiran los ordena- 
mientos tributarios de la inmensa mayoría de los países democráticos de nuestro 
entorno (16). Que las distintas Administraciones tributarias aumenten las vías de 
cooperación internacional, así como la frecuencia e intensidad de dicha coopera- 
ción o colaboración es algo de lo que, sin duda, nos debemos congratular. Y es 
sabido que el desarrollo de las nuevas tecnologías de la comunicación y el adveni- 
miento de una nueva sociedad tecnológicamente avanzada y digitalizada que ello 
ha traído consigo, está en la base del aumento de esa cooperación internacional a la 
que nos referíamos. Lógicamente, las extraordinarias oportunidades que ofrecen 
estas nuevas tecnologías deben ser especialmente aprovechadas por la Administra- 
ción pública, en general, para ofrecer mejores servicios y más eficientes a sus ciu- 
dadanos, y, por lo que ahora nos interesa, por las distintas Administraciones tribu- 
tarias, tanto en el plano internacional como interno, para llevar a cabo una 
aplicación del sistema tributario acorde con los principios de justicia tributaria 
comúnmente aceptados en nuestro contexto internacional y que, en el caso de 
España, están consagrados en el artículo 31 de nuestra Constitución (17). 


(14) Como destaca SCHAPER, M., «Data protection rights and tax information exchange in the 
European unión: an uneasy combination», Maastricht Journal of European and Comparative Law, 
vol. 23, núm. 3, 2016, p. 515, dada la mayor escala del intercambio automático de información tribu- 
taria, el riesgo de una violación del derecho a la protección de datos personales también se ve incre- 
mentado. 

(15) Como señala la Directiva 2014/107/UE, del Consejo, de 9 de diciembre de 2014, anterior- 
mente mencionada, en el considerando 10 de su preámbulo, «el proceso de comunicación de informa- 
ción con arreglo a la presente Directiva es necesario y proporcionado para permitir que las adminis- 
traciones tributarias de los Estados miembros identifiquen a los contribuyentes en cuestión de manera 
correcta e inequívoca, ejecuten su normativa tributaria en situaciones transfronterizas, evalúen la 
probabilidad de que se haya producido un fraude fiscal y eviten investigaciones adicionales 
innecesarias». 

(16) Como destacan SOMARE, M.; WOHRER, V., «Automatic Exchange of Financial Informa- 
tion under the Directive on Administrative Cooperation in the Light of the Global Movement towards 
Transparency», Intertax, vol. 43, núm. 12, 2015, p. 804, en referencia al intercambio automático de 
información financiera, el origen de esta solidaridad global sin precedentes está en la crisis financiera 
mundial y en la necesidad de afrontar sus consecuencias y combatir sus efectos. 

(17) Ello queda evidenciado en la Directiva 2011/16/UE, de cooperación administrativa en 
materia fiscal y, sobre todo, en las sucesivas Directivas que han modificado la misma (a las que nos 
hemos referido anteriormente) ya que el intercambio automático de información tributaria, que se ha 
convertido en el nuevo estándar de cooperación entre Estados en materia de fiscalidad, se articula 
sobre la transmisión digital o telemática de la información que es objeto de intercambio. 
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Sin embargo, la bondad y justificación constitucional del objetivo y la imperio- 
sa necesidad de poner en manos de la Administración tributaria estos instrumentos 
jurídicos y técnicos cada vez más eficaces para la lucha contra el fraude fiscal no 
nos puede hacer perder de vista que la aplicación de los tributos se desenvuelve a 
través de una relación jurídico-tributaria en la que los obligados tributarios (a título 
de contribuyentes, de responsables, etc.) tienen unos derechos y garantías ampara- 
dos igualmente por el texto constitucional y, en el caso de tratarse de derechos 
fundamentales de la persona, también por textos normativos del máximo rango a 
nivel internacional (18). Derechos y garantías que, obviamente, no pueden ser vul- 
nerados ni desconocidos por la Administración tributaria a la hora de aplicar los 
tributos, y que, por descontado, no pueden tampoco ser desconocidos por el legis- 
lador tributario a la hora de diseñar jurídicamente todos estos instrumentos de 
nuevo cuño ordenados esencialmente para el intercambio de información a nivel 
internacional (19). La cláusula de Estado democrático de Derecho exige el logro de 
un cierto equilibrio entre las potestades administrativas encaminadas a la exacción 
de los tributos y los derechos y garantías de los obligados tributarios; equilibrio que 
debe tener su reflejo en la regulación de los distintos procedimientos de aplicación 
y revisión de los tributos y que, tratándose de los derechos fundamentales de la 
persona, requiere del máximo cuidado y atención por parte del legislador, de la 
propia Administración tributaria, y, cómo no, de los jueces y tribunales (20). 

El problema es que la evolución de la fiscalidad internacional hacia esa mayor 
colaboración entre autoridades fiscales, especialmente por lo que respecta al 
aumento e intensidad del intercambio de información financiera, no ha tenido muy 
en cuenta los derechos y garantías de los contribuyentes y de los demás obligados 
tributarios relacionados directa o indirectamente con esos intercambios de infor- 
mación (21). Ha sido la doctrina y, especialmente, la jurisprudencia del TEDH y 


(18) Como recuerda NEvE, L. E. C, «The peer review process of the global forum on transpa- 
rency and exchange of information for tax purposes», Erasmus Law Review, núm. 2/2017, p. 103, la 
eliminación de la evasión fiscal es un objetivo de gran importancia para el bienestar económico de los 
ciudadanos de un Estado. Sin embargo, este objetivo no hace por sí que la aplicación de una norma sea 
legítima, incluso si es efectiva. El desempeño efectivo de una tarea no es suficiente para dotarla de 
legitimidad si ese desempeño viola los principios de justicia aceptados en un Estado de Derecho. 

(19) En este sentido, no faltan declaraciones de principios a partir de la Directiva 2014/107/ 
UE, del Consejo, anteriormente citada, del tenor del considerando 17, que señala que «la presente 
Directiva respeta los derechos fundamentales y observa los principios reconocidos, en particular, en 
la Carta de los Derechos Fundamentales de la Unión Europea, incluido el derecho a la protección de 
los datos personales». 

(20) En este sentido, SÁNCHEZ LÓPEZ, M. E., El problema de la protección del contribuyen- 
te..., Cit., p. 36, propugna la necesidad de establecer una normativa más equilibrada en materia de 
intercambio automático de información fiscal que cohoneste las garantías básicas de los contribuyen- 
tes con el deber de contribuir en un contexto transfronterizo. 

(21) Como ha señalado CALDERÓN CARRERO, J. M., «Intercambio de información tributaria y 
derechos de defensa del contribuyente: la jurisprudencia del TJUE en el caso Sabou», Carta Tributaria 
Monografías, núm. 2/2014, p. 14, «la materia de los derechos de los contribuyentes en el marco de los 
procedimientos de asistencia administrativa mutua (tributaria) refleja, además de la clásica tensión 
entre interés fiscal y derechos de los contribuyentes afectados, un déficit de elaboración nacional e 
internacional, derivado en gran medida de la propia evolución de la fiscalidad internacional durante 
las últimas décadas «de espaldas» a los derechos de los contribuyentes, lo cual no resulta adecuado ni 
aceptable, toda vez que, como ha puesto de relieve el TJUE (y el propio TEDH), los derechos funda- 
mentales de los administrados deben ser igualmente respetados en el marco de estos procedimientos 
de asistencia mutua transfronterizos. La propia OCDE debería propiciar una configuración más 
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del TJUE, la que ha puesto el acento en la necesaria defensa de los derechos y 
garantías de los obligados tributarios en estos procesos de intercambio internacio- 
nal de información en materia tributaria y, con ello, ha obligado al propio legisla- 
dor tributario a tomar conciencia de la necesidad de mejorar los instrumentos jurí- 
dicos dispuestos para hacerlos efectivos desde esta perspectiva del respeto a los 
derechos y garantías de los contribuyentes (22). 

En este contexto, el derecho fundamental que se erige como un baluarte en la 
defensa de los contribuyentes frente a las potestades de las administraciones tribu- 
tarias es el derecho a la protección de datos personales, que se incardina en el 
ámbito de lo que constituye el derecho a la vida privada o intimidad de las personas 
y, por ello, vamos a centrar nuestra atención en el mismo. 

Qué duda cabe que el intercambio de información con relevancia tributaria 
entre autoridades fiscales de distintos Estados, especialmente en los casos de inter- 
cambio automático obligatorio de tal información, implica la circulación de un 
gran volumen de datos conectados o ligados a personas físicas y jurídicas perfecta- 
mente identificadas o identificables (23). La información económica no es una 
información aséptica, puramente matemática, sino que, como ha tenido ocasión de 
destacar nuestro Tribunal Constitucional, los movimientos de una cuenta corriente 
pueden reflejar la biografía personal en números del contribuyente (24). Por tanto, 
la puesta en marcha, el funcionamiento de estos mecanismos de intercambio inter- 


garantista de los principales instrumentos de fiscalidad internacional, aunque no puede dejar de reco- 
nocerse que la gran disparidad de culturas y tradiciones jurídicas puede dificultar tal labor y condu- 
cir a un enfoque de mínimos». 

(22) Como concluye MORENO GONZÁLEZ, $., «El intercambio automático de información tri- 
butaria y la protección de datos personales en la Unión Europea. Reflexiones al hilo de los últimos 
progresos normativos y jurisprudenciales», Quincena Fiscal, núm. 12/2016 (citamos por la versión 
electrónica BIB 2016/21227), p. 22, el TJUE está siendo el principal artífice en la consolidación defi- 
nitiva del derecho fundamental a la protección de datos personales en el territorio de la UE, cuyo 
contenido esencial implica el establecimiento de garantías efectivas y no meras declaraciones de cum- 
plimiento. 

(23) Así, por poner solo un ejemplo, en relación con el intercambio automático de información 
sobre cuentas financieras, la Directiva 2014/107/UE, señala que será objeto de información, entre 
otros extremos, el nombre, domicilio, NIF y lugar y fecha de nacimiento (en el caso de una persona 
física) de cada «persona sujeta a comunicación de información» que sea «titular de la cuenta» y, en el 
caso de una «entidad» que sea «titular de la cuenta» y que, tras la aplicación de normas de diligencia 
debida conformes con los anexos, sea identificada como «entidad» con una o varias «personas que 
ejercen el control» que sean «personas sujetas a comunicación de información», el nombre, domicilio 
y NIF de la «entidad» y el nombre, domicilio, NIF y fecha y lugar de nacimiento de cada «persona 
sujeta a comunicación de información». 

(24) En la STC 110/1984. En el caso concreto, el recurrente insistía en la gravedad de que la 
investigación de las cuentas bancarias comprendiese las operaciones pasivas, entendiendo que queda- 
ba protegido por su intimidad, ya que a nadie le importa en qué gasta cada cual su dinero. Pero el TC 
determinó que las operaciones pasivas también pueden ser reveladoras de una conducta fiscal anómala 
y que el conocimiento de una cuenta corriente no puede darse si no se contempla en su integridad, 
manteniendo por tanto, una posición muy favorecedora hacia la potestad de la Administración, en 
detrimento de la intimidad del contribuyente. El Tribunal concluye que la imposición del deber jurídi- 
co de colaborar con la Administración recae tanto sobre los contribuyentes directamente afectados 
como sobre «aquellos que puedan prestar una ayuda relevante para alcanzar la equidad fiscal, como 
los Bancos y demás Entidades de Crédito». Así, el Tribunal considera que aunque el movimiento de las 
cuentas bancarias quedase cubierto por el derecho a la intimidad, operaría un límite justificado de este 
derecho por otro bien constitucionalmente protegido cual es la distribución equitativa del sostenimien- 
to de los gastos públicos a que apela el propio artículo 31 de la Constitución. 
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nacional de información tributaria y, más aún, de asistencia mutua internacional 
entre las autoridades fiscales de distintos Estados, es susceptible de producir una 
injerencia en la vida privada o intimidad del contribuyente y, especialmente, es, sin 
duda, susceptible de producir una injerencia en el derecho fundamental a la protec- 
ción de los datos personales (25). 

La cuestión en relación con el derecho del contribuyente a la protección de sus 
datos personales no va a estribar tanto en la existencia en sí de una injerencia en 
este derecho por parte de la Administración tributaria, cuanto en la determinación 
de si tal injerencia está justificada y es proporcionada al fin perseguido, además de 
otras cuestiones como la posibilidad de tutela del contribuyente en los casos en los 
que no se aprecie tal proporción y los propios mecanismos para asegurar el carácter 
reservado o la confidencialidad de la información recabada o recopilada por la 
Administración tributaria (26). 

Al respecto, tenemos que tener en cuenta la reciente entrada en vigor del 
Reglamento UE 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril 
de 2016, relativo a la protección de las personas físicas en lo que respecta al trata- 
miento de datos personales y a la libre circulación de estos datos y por el que se 
deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) (27). 
Este nuevo Reglamento General de Protección de Datos constituye la normativa 
fundamental en el ámbito de la Unión Europea en relación con la protección del 
derecho de las personas físicas a la protección de sus datos personales, procurando 
garantizar un nivel uniforme y elevado de protección de las personas físicas que 
favorezca la libre circulación de los datos en el ámbito de la Unión Europea, a tra- 
vés del establecimiento de un nivel de protección equivalente en todos los Estados 
miembros de los derechos y libertades de las personas físicas por lo que se refiere 
al tratamiento de sus datos personales (28). En relación con ello resulta clave, por 
lo que a la cooperación entre Administraciones tributarias de distintos Estados res- 
pecta, la Directiva 2014/107/UE, del Consejo, de 9 de diciembre de 2014, pues en 
la nueva redacción que ha dado al artículo 25 de la Directiva 2011/16/UE, del Con- 
sejo, de 15 de febrero de 2011, relativa a la cooperación administrativa en el ámbi- 


(25) Destaca, en este sentido, BAKER, P., «Privacy Rights in an Age of Transparency: A Euro- 
pean Perspective», Tax Notes International, mayo 9, 2016, p. 584, que la recogida, almacenamiento e 
intercambio de información entre autoridades fiscales supone prima facie una injerencia en el derecho 
a la vida privada recogido en el artículo 8 del CEDH y en el artículo 7 de la Carta Europea de Derechos 
Fundamentales. En esta línea, advierten MARTÍNEZ GINER, L. A.; MORENO GONZÁLEZ, S.; LAMPREA- 
VE MÁRQUEZ, P., Nuevo intercambio de información tributaria..., cit., p. 19, que «la normativa 
FATCA puede entrar en conflicto con el Derecho de la UE y con las normativas nacionales sobre pro- 
tección de datos de los países afectados». 

(26) Cfr. BAKER, P., Privacy Rights in an Age of Transparency..., cit., p. 586. 

(27) Publicado en el DOUE de 4 de mayo de 2016. 

(28) Este Reglamento General de Protección de Datos ha comenzado a aplicarse a partir del 25 
de mayo de 2018, pues se había dejado un espacio temporal para que las empresas y demás institucio- 
nes se adaptaran a la nueva normativa sobre protección de datos. El Reglamento recoge los principios, 
derechos y libertades garantizados por la Directiva 95/46/CE, del Parlamento Europeo y del Consejo, 
de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al trata- 
miento de datos personales y a la libre circulación de estos datos, si bien se muestra más proteccionis- 
ta al respecto y añade otros derechos como el llamado «derecho al olvido» y el «derecho a la portabi- 
lidad de los datos». En este sentido, la jurisprudencia recaída en torno a la aplicación de la 
Directiva 95/46/CE sigue siendo válida también, como veremos, en la interpretación del nuevo Regla- 
mento Europeo de Protección de Datos. 
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to de la fiscalidad y por la que se deroga la Directiva 77/799/CEE, se desarrollan en 
mayor medida los derechos y garantías que en relación con la protección de datos 
ostentan los contribuyentes sujetos al intercambio automático de información sobre 
sus cuentas financieras (29). Aunque ello ha supuesto un avance respecto a la pro- 
tección de datos personales del contribuyente, resulta aún perceptible el contraste 
entre la velocidad con la que la legislación de la Unión Europea ha incrementado 
los poderes de las Administraciones tributarias de los Estados miembros en cuanto 
a la cooperación y al intercambio de información entre ellas se refiere y la aparente 
falta de urgencia del legislador de la Unión para equilibrar estos poderes con los 
derechos de los contribuyentes en una regulación a nivel europeo. Antes bien, el 
legislador de la Unión Europea parece preferir dejar la cuestión de las garantías 
para la protección de datos en el ámbito del intercambio de información fiscal a la 
regulación de los Estados miembros (30). 

Y es que no puede desconocerse la existencia de una tensión entre las normas 
que disciplinan el intercambio de información internacional entre autoridades fis- 
cales y las normas que protegen los datos de las personas físicas, ya que ambas 
obedecen a lógicas muy distintas (31). Ello, sin duda, está generando y generará en 
el futuro conflictos que, en muchos casos, dilucidarán los altos tribunales euro- 
peos. Precisamente, en este trabajo pretendemos hacer un análisis de la jurispru- 
dencia del TJUE y del TEDH en relación con la protección de datos del contribu- 
yente en asuntos, lógicamente, que se han planteado sobre cuestiones de carácter 
tributario. 


Il. LA CONFIGURACIÓN DEL DERECHO A LA PROTECCIÓN 
DE LOS DATOS PERSONALES EN EL CONTEXTO EUROPEO 


Respecto a lo que deba entenderse como «datos personales», el Reglamento 
Europeo de Protección de Datos define en su artículo 4.1 lo que son datos persona- 
les, señalando que son «toda información sobre una persona física identificada o 


(29) Como resalta BAKER, P., Privacy Rights..., cit., p. 586, el cambio importante en relación 
con la protección de datos se produce con la Directiva 2014/107/EU, que obliga a las entidades finan- 
cieras a informar al sujeto afectado de la recopilación de información y de su transmisión a una auto- 
ridad fiscal extranjera con tiempo suficiente para que éste pueda hacer valer sus derechos en relación 
con la protección de sus datos personales. 

(30) Cfr, SCHAPER, M. Data protection rights...., cit., p. 530. 

(31) Como señalan García PRATS, F. A.; MELIS, G., «Scambio di informazioni e diritti dei 
contribuenti», Diritto e Processo Tributario, núm. 2/2015, p. 270, tanto de la Directiva 2011/16/UE 
como del desarrollo del modelo FATCA y del estándar de intercambio automático de la información 
financiera de la OCDE emerge una limitada consideración por la posición jurídica del contribuyente en 
el procedimiento relativo al intercambio de información entre las administraciones fiscales. El criterio- 
guía para el desarrollo del nuevo estándar internacional parece estar esencialmente dirigido a la efica- 
cia del procedimiento. Al respecto, considera HUANG, X., «Ensuring Taxpayer Rights in the Era of 
Automatic Exchange of Information: EU Data Protection Rules and Cases», Intertax, vol. 46, núm. 3, 
2018, p. 225, que la insuficiente garantía de los derechos de los contribuyentes no solo genera un pro- 
blema en el estatus de los mismos en el sistema de intercambio automático de información fiscal, sino 
que pone en duda la propia validez del sistema de intercambio automático de información fiscal como 
un estándar internacional. 
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identificable («el interesado»); se considerará persona física identificable toda 
persona cuya identidad pueda determinarse, directa o indirectamente, en particu- 
lar mediante un identificador, como por ejemplo un nombre, un número de identifi- 
cación, datos de localización, un identificador en línea o uno o varios elementos 
propios de la identidad física, fisiológica, genética, psíquica, económica, cultural 
o social de dicha persona» (32). 

Por su parte, el Grupo de Trabajo sobre Protección de Datos Personales de la 
Unión Europea, el llamado G29, señala en su Dictamen 4/2007, de 20 de junio, 
sobre el concepto de datos personales (p.7), que se definen como «la información 
relativa a la vida privada y familiar del individuo stricto sensu, pero también la 
información sobre cualquier tipo de actividad desarrollada por una persona, como 
la referida a sus relaciones laborales o su actividad económica o social.». Destaca, 
asimismo, el referido Dictamen que «desde el punto de vista del formato o el 
soporte en que la información está contenida, el concepto de datos personales 
incluye la información disponible en cualquier forma, alfabética, numérica, gráfi- 
ca, fotográfica o sonora» (33). 

El derecho a la protección de datos personales se ha configurado en nuestro 
Derecho interno como un derecho fundamental autónomo, aunque vinculado con 
el derecho a la intimidad consagrado en el artículo 18 de la CE y con el artícu- 
lo 10.1 de la misma (sobre la dignidad de la persona). A tal efecto, resulta de espe- 
cial interés la STC 292/2000 (EJ 7), cuando señala que «el contenido del derecho 
fundamental a la protección de datos consiste en un poder de disposición y de 
control sobre los datos personales que faculta a la persona para decidir cuáles de 
esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede 
este tercero recabar, y que también permite al individuo saber quién posee esos 
datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos pode- 
res de disposición y control sobre los datos personales, que constituyen parte del 
contenido del derecho fundamental a la protección de datos se concretan jurídica- 
mente en la facultad de consentir la recogida, la obtención y el acceso a los datos 
personales, su posterior almacenamiento y tratamiento, así como su uso o usos 
posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el 
conocimiento y el tratamiento, informático o no, de los datos personales, requiere 
como complementos indispensables, por un lado, la facultad de saber en todo 
momento quién dispone de esos datos personales y a qué uso los está sometiendo, 
y, por otro lado, el poder oponerse a esa posesión y usos». 

A nivel europeo, el artículo 8 del Convenio Europeo de Derechos Humanos 
(CEDH), recoge el derecho al respeto a la vida privada y familiar, dentro del cual 
se encuentra, de acuerdo con la interpretación dinámica que del mismo ha venido 


(32) En ello el nuevo Reglamento General de Protección de Datos ha seguido los pasos que ya 
marcara la Directiva 95/46 CE, del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, que 
en su artículo 2.a) los definía como «toda información sobre una persona física identificada o identifi- 
cable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, 
directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos 
específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social». 

(33) Sobre el concepto de datos personales, vid., APARICIO SALOM, J., Estudio sobre la protec- 
ción de datos, Thomson Reuters Aranzadi, Cizur Menor, 2013, pp. 106 y ss., así como la magnífica 
obra de OLIVARES OLIVARES, B. D., La protección de los datos tributarios de carácter personal duran- 
te su obtención en España, Thomson Reuters Aranzadi, Cizur Menor (Navarra), 2017, pp. 129 y ss. 
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haciendo el TEDH (34), el derecho fundamental a la protección de datos (35). Si 
bien, este derecho no es absoluto, sino que, como el propio párrafo 2 del precepto 
se encarga de señalar, caben injerencias de la autoridad pública en el mismo, siem- 
pre que éstas estén previstas en la ley y se trate de medidas proporcionadas que 
persigan determinados fines, entre los que, desde el punto de vista tributario, que- 
remos destacar «el bienestar económico del país» y el de «la prevención de infrac- 
ciones penales», pues, como veremos, ambas finalidades podrían llegar a justificar 
las posibles injerencias de la Administración tributaria en el derecho a la protec- 
ción de datos de los contribuyentes. 

El artículo 8 del CEDH tiene su correlato, para el ámbito de la Unión Europea, 
en el artículo 7 de la Carta Europea de Derechos Fundamentales, de 14 de diciem- 
bre de 2007 (CDFUE) (36). Además, la Carta dedica un precepto específico al 
derecho a la protección de datos personales, que viene recogido en el artículo 8 de 
la misma (37). Como es sabido, la Carta de Derechos Fundamentales goza de 
carácter vinculante desde la aprobación del Tratado de Lisboa de 17 de diciembre 
de 2007 y, según establece el artículo 6.1 del Tratado de la Unión Europea, pasa a 
formar parte del derecho originario de la Unión (38). 

Ello plantea una primera cuestión en relación con la posible distinción a nivel 
europeo entre el derecho a la vida privada (private life) y el derecho a la protección 
de datos personales, como dos derechos interconectados, pero autónomos (39). Y 
es que, la distinción introducida en la Carta Europea en cuanto a la regulación de 
ambos derechos indica que ambos no son exactamente sinónimos (40). Al respec- 
to, tanto el TJUE como el TEDH han establecido que no debe interpretarse el tér- 


(34) Cfr, CUBILES SÁNCHEZ-POBRE, P., «El derecho a la protección de la vida privada y fami- 
liar en el ámbito tributario», en GARCÍA BERRO, F., Derechos Fundamentales y Hacienda Pública. Una 
perspectiva Europea, Thomson Reuters-Civitas, Cizur Menor (Navarra), 2015, p. 89. 

(35) Como señala el artículo 8 del CEDH, «1. Toda persona tiene derecho al respeto de su 
vida privada y familiar, de su domicilio y de su correspondencia. 

2. No podrá haber injerencia de la autoridad pública en el ejercicio de este derecho sino en tanto 
en cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad demo- 
crática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del 
país, la defensa del orden y la prevención de las infracciones penales, la protección de la salud o de la 
moral, o la protección de los derechos y las libertades de los demás». 

(36) El artículo 7 de la CDFUE, bajo la rúbrica de «respeto de la vida privada y familiar», 
señala que «toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de 
sus comunicaciones». 

(37) El artículo 8 CDFUE establece que «1. Toda persona tiene derecho a la protección de los 
datos de carácter personal que le conciernan. 2. Estos datos se tratarán de modo leal, para fines 
concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento 
legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le concier- 
nan y a obtener su rectificación. 3. El respeto de estas normas estará sujeto al control de una autori- 
dad independiente». 

(38) El artículo 6.1 TUE establece que 1. La Unión reconoce los derechos, libertades y princi- 
pios enunciados en la Carta de los Derechos Fundamentales de la Unión Europea de 7 de diciembre 
de 2000, tal como fue adoptada el 12 de diciembre de 2007 en Estrasburgo, la cual tendrá el mismo 
valor jurídico que los Tratados. 

(39) Sobre ello, vid., KokoTT, J.; SOoBOTTA, C., «The distinction between privacy and data 
protection in the jurisprudence of the CJEU and the ECtHR», International Data Privacy Law, vol. 3, 
núm. 4, 2013, pp., 222 y ss. 

(40) Cfr. Kokorr, J.; SoBotTA, C., The distinction between privacy and data protection..., 
cit., p. 223. 
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mino vida privada en un sentido restrictivo. El TJUE ha interpretado la jurispru- 
dencia del Tribunal de Estrasburgo en el sentido de que el término vida privada 
contemplado en el artículo 8 del CEDH incluye el derecho a la protección de datos 
personales, definidos los datos personales como toda información relativa a una 
persona física identificada o identificable (41). En realidad, el derecho a la vida 
privada y el derecho a la protección de datos no tienen necesariamente por qué 
tener ámbitos coincidentes, ya que pueden existir datos relativos a una persona 
identificada o identificable que no entren dentro del concepto de vida privada o de 
intimidad y, sin embargo, el derecho a la protección de datos cubre exactamente 
esa información. Además, los datos personales cubiertos por el derecho a la protec- 
ción de datos son los referidos a una persona física, no a una persona jurídica que, 
por tanto, quedaría excluida como sujeto de este derecho (42). Sin embargo, a las 
personas jurídicas sí que se les ha reconocido el derecho a la privacidad reconocido 
en el artículo 8 del CEDH, especialmente por lo que respecta a la inviolabilidad de 
su domicilio (43). 

En la medida en que, según reiterada jurisprudencia del Tribunal de Justicia de 
la Unión Europea, los derechos garantizados en el Artículo 7 de la Carta correspon- 
den a aquellos que están garantizados por el artículo 8 del CEDH, incluidas sus 
limitaciones, el TJUE se refiere espontáneamente a casos similares juzgados por 
el TEDH, lo cual pone de manifiesto un fluido diálogo entre ambos Tribunales (44). 

En este sentido, en la medida en que el derecho a la protección de los datos 
personales está estrechamente vinculado al derecho a la vida privada (intimidad 
personal y familiar) tal cual está consagrado en el artículo 7 de la Carta, las limita- 
ciones susceptibles de ser legítimamente admitidas a este derecho corresponden 
con aquellas toleradas en el ámbito del artículo 8 del CEDH (45). No obstante, de 
acuerdo con lo dispuesto en el artículo 52.1 de la Carta Europea de Derechos Fun- 
damentales, las limitaciones al derecho a la vida privada y a la protección de datos 
pueden tener un carácter más abierto en la medida en que los objetivos que justifi- 
quen una injerencia en estos derechos se correspondan con intereses generales 
reconocidos por la Unión Europea o sean necesarias para proteger los derechos y 
las libertades de los otros. En este sentido, por ejemplo, el TJUE ha reconocido que 


(41) Cfr. Kokorr, J.; SoBOTtTA, C., The distinction between privacy and data protection..., 
cit., p. 223. 

(42) Cfr. Kokorr, J.; SOBOTTA, C., The distinction between privacy and data protection..., 
cit., p. 225. 

(43) Como, por ejemplo, se reconoce en la STEDH de 14 de marzo de 2013, caso Bernh Lar- 
sen Holding AS and others contra Noruega (recurso núm. 24117/08). 

(44) En este sentido, por ejemplo, puede verse la STJUE de 17 de diciembre de 2015, asunto 
C-419/14, caso WebMindLicenses, en la que el Tribunal señala que «el artículo 7 de la Carta, referido 
al derecho al respeto de la vida privada y familiar, contiene derechos equivalentes a los garantizados 
por el artículo 8, apartado 1, del CEDH, y que, por consiguiente, conforme al artículo 52, apartado 3, 
de la Carta, debe darse a dicho artículo 7 el mismo sentido y el mismo alcance que los conferidos al 
artículo 8, apartado 1, del CEDH, tal como lo interpreta la jurisprudencia del Tribunal Europeo de 
Derechos Humanos». En la misma línea puede verse también la STJUE de 9 de noviembre de 2010, 
asuntos acumulados C-92/09 y C-93/09, caso Markus Schecke. 

(45) Como, por ejemplo, afirma la STJUE de 9 de noviembre de 2010, asuntos acumulados 
C-92/09 y C-93/09, caso Markus Schecke, cuando señala que «las limitaciones al derecho a la protec- 
ción de los datos de carácter personal que pueden establecerse legítimamente corresponden a las tole- 
radas en el contexto del artículo 8 del CEDH». 
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la transparencia en el uso de fondos públicos constituye un objetivo legítimo que 
justifica la publicación de los subsidios agrícolas percibidos por agricultores indi- 
viduales (46). 

El derecho a la protección de datos personales quedó desarrollado ampliamen- 
te en la Directiva 95/46/CE, a la que ya hemos hecho referencia, que ha sido susti- 
tuida a partir del 25 de mayo de 2018 por el Reglamento General de Protección de 
Datos Personales (47). 

Este Reglamento es una norma de efecto directo que no requiere trasposición 
al derecho interno, salvo en aquellos casos en los que se determine expresamen- 
te (48). El Reglamento va a desplazar a la LOPD en aquellas materias que regule, 
quedando, por tanto, la legislación nacional configurada como normas de aplica- 
ción del Reglamento (49). Asimismo, seguirá vigente la normativa específica de 
desarrollo de dicho derecho, siempre que el Reglamento contemple habilitaciones 
expresas de desarrollo legislativo, que permitan regular determinadas materias a 
los Estados Miembros (50). 

El Reglamento General de Protección de Datos señala en el artículo 1.3 que 
«la libre circulación de los datos personales en la Unión no podrá ser restringida 
ni prohibida por motivos relacionados con la protección de las personas físicas en 
lo que respecta al tratamiento de datos personales». 

Por tanto, se coloca como valor superior del Ordenamiento la libertad de circu- 
lación, que, referida a la circulación de datos, se hace necesaria para el intercambio 
internacional de información; pero se hace garantizando siempre que en esta liber- 
tad quede incluido el respeto a los derechos fundamentales de los particulares. 

Como destaca Olivares, el derecho a la protección de los datos personales «está 
presente, por su propia naturaleza, en todo ámbito de cooperación administrativa 
que implique intercambio de información en la UE, puesto que tanto de manera 
directa, a través de la persona física, o indirecta, mediante la información propor- 


(46) Así, en la STJUE de 9 de noviembre de 2010, asuntos acumulados C-92/09 y C-93/09, 
caso Markus Schecke. Sobre ello, vid., KokoTT, J.; SOBOTTA, C., The distinction between privacy and 
data protection..., cit., p. 224. 

(47) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, 
relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a 
la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de 
Protección de Datos). 

(48) El artículo 99 de dicho Reglamento dice que: «El presente Reglamento será obligatorio en 
todos sus elementos y directamente aplicable en cada Estado miembro». 

(49) Actualmente se tramita en las Cortes Generales un Proyecto de Ley Orgánica de Protec- 
ción de Datos de Carácter Personal, publicado en el Boletín Oficial de las Cortes Generales. Congre- 
so de los Diputados. XII Legislatura. Serie A. Proyectos de Ley, de 24 de noviembre de 2017, que, 
como reza su artículo 1, «/. La presente ley orgánica tiene por objeto adaptar el ordenamiento jurídi- 
co español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril 
de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos 
personales y a la libre circulación de estos datos, y completar sus disposiciones. 

2. El derecho fundamental de las personas físicas a la protección de datos de carácter personal, 
amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Regla- 
mento (UE) 2016/679 y en esta ley orgánica». 

(50) Como ha destacado OLIVARES OLIVARES, B. D., La protección de los datos tributarios..., 
cit., p. 33, el nuevo marco jurídico representado por el Reglamento General de Protección de Datos 
«requerirá la adecuación de la legislación interna a su régimen, así como la interpretación de deter- 
minadas normas orientadas a flexibilizar notablemente las obligaciones de los responsables del 
tratamiento». 
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cionada por las personas jurídicas, las administraciones europeas en el marco de 
la Directiva de cooperación van a acabar intercambiando información referente a 
la fiscalidad de las rentas obtenidas por personas naturales en el seno de la Unión 
y, por tanto, estos intercambios deberán ser acordes al marco legal europeo de 
protección de datos» (51). 

La Directiva 2011/16/UE, a la que ya nos hemos referido anteriormente, indica 
que todo intercambio de información debe ser efectuado con arreglo a las normas 
de la Directiva 95/46/CE (32). Sin embargo, en su artículo 25 indica que los Esta- 
dos, en el marco del intercambio de información de la Directiva de cooperación, 
pueden limitar los derechos y obligaciones recogidos por la Directiva 95/46/ 
CE (53). Se trata de los siguientes derechos concedidos por la Directiva y ahora por 
el Reglamento General de Protección de Datos a las personas físicas: 


a) La obligación de informar al interesado de los datos recabados, que 
implica comunicar qué datos se están recopilando pero no por quién. 

b) La obligación de informar al interesado cuando los datos no han sido 
recabados de este, en este caso cuando los datos se obtienen de un tercero. 

c) El derecho de acceso de los interesados a sus datos personales cuando se 
hallan en poder de la autoridad competente. 

d) La obligación de publicitar los tratamientos. Los Estados miembros 
podrán no establecer los mecanismos necesarios de publicación del Estado en el 
que están los datos o qué se ha hecho con ellos. 


Así, en el marco del intercambio de información fiscal de la Directiva 2011/16/ 
UE, los Estados pueden limitar a los interesados el derecho a obtener del responsa- 
ble del tratamiento, cuando sea necesario para salvaguardar los intereses econó- 
micos, fiscales y presupuestarios, aspectos como los siguientes: la certificación de 
la existencia o inexistencia del tratamiento de datos que le conciernen, la informa- 
ción respecto a los fines de su tratamiento, la comunicación del origen de los datos 
tratados o la posibilidad de rectificar, suprimir o bloquear la información cuyo tra- 
tamiento no se ajuste a las disposiciones de la Directiva (54). 


(51) OLIVARES OLIVARES, B. D., «La protección de los datos personales en el ámbito tributario 
a la luz de la Directiva 2011/16/UE. Situación actual y perspectivas de futuro». en MARTÍN DÉGANO, I.; 
HERRERA MOLINA, P. M., Intercambio de información y medidas fiscales de efecto equivalente. (Jor- 
nada preparatoria del Congreso de la EATLP), Documento núm. 8/2014, Instituto de Estudios Fisca- 
les, p. 45. 

(52) A partir del 25 de mayo de 2018 esta referencia hay que entenderla realizada al Reglamen- 
to General de Protección de Datos. 

(53) El artículo 25 de la Directiva 2011/16/UE establece que todo intercambio de información 
efectuado con arreglo a la presente Directiva está sujeto a las disposiciones de aplicación de la Direc- 
tiva 95/46/CE. No obstante, los Estados miembros limitarán el alcance de las obligaciones y derechos 
previstos en el artículo 10, el artículo 11, apartado 1, y los artículos 12 y 21 de la Directiva 95/46/CE, 
en la medida necesaria para salvaguardar los intereses a que se refiere el artículo 13, apartado 1, letra 
e), de dicha Directiva. 

(54) Como bien apunta OLIVARES OLIVARES, B., La protección de los datos..., cit., p. 123, sería 
«cuanto menos debatible si se diera el caso de que a través de una transposición se produjera una limi- 
tación absoluta de estos derechos y obligaciones, puesto que algunos se han consagrado como parte 
del contenido esencial del derecho fundamental a la protección de los datos personales en algunos 
países». 
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Respecto a los principios generales que recogía la Directiva 95/46/CE y que 
también han sido, igualmente, trasladados al nuevo Reglamento General de Protec- 
ción de Datos, destacamos los siguientes: 


a) Debe garantizarse la calidad de los datos, que deben ser tratados de mane- 
ra leal y lícita y ser recogidos con fines determinados, explícitos y legítimos. Asi- 
mismo, deben ser adecuados, pertinentes y no excesivos en relación a los fines para 
los que se recaben, así como exactos (55). 

b) Debe garantizarse la legitimación del tratamiento de los datos, que requie- 
re el consentimiento del interesado, o que sea necesario para la ejecución de un 
contrato en que el interesado sea parte o para el cumplimiento de una obligación 
jurídica a la que esté sujeto, o que sea necesario para proteger su interés vital; o 
bien que sea necesario para el cumplimiento de una misión de interés público o 
para la satisfacción de un interés legítimo. Además, no deben conservarse durante 
un tiempo superior al necesario (56). 

c) Debe informarse al interesado de la identidad del responsable del trata- 
miento, los fines perseguidos y otra información relevante. Además, se le garantiza 
el derecho de acceso y de oposición (57). 


No obstante, se prevén una serie de posibles limitaciones a las obligaciones del 
Estado en el artículo 23 del Reglamento General de Protección de Datos, que deben 
establecerse mediante medidas legales y que se refieren a supuestos en que dicha 
limitación constituya una medida necesaria para la salvaguarda de la seguridad del 
Estado, la defensa, la seguridad pública, la represión de infracciones penales, un 
interés económico o financiero importante de un Estado Miembro de la Unión, 
incluidos los asuntos monetarios, presupuestarios y fiscales, funciones de inspec- 
ción o control relacionadas con los supuestos anteriores o la protección de los 
derechos y libertades de otras personas. Esta amplia lista de excepciones ha provo- 
cado que, en la práctica, la doctrina critique la escasa protección de los derechos de 
los contribuyentes en esta materia (58). 

Estas limitaciones pueden implicar que el contribuyente vea bastante más limi- 
tada su privacidad frente a la configuración, en general, de la privacidad o intimi- 
dad de la persona en otros ámbitos o facetas de su vida, en la medida en que frente 
a la privacidad o intimidad del contribuyente entra en juego la protección del inte- 
rés financiero de la Hacienda pública. Este límite va a estar expresamente ampara- 
do, además, en el artículo 8 CEDH, pues según su redacción: «no podrá haber 
injerencia de la autoridad pública [... [sino en tanto en cuanto esta injerencia esté 
prevista por la ley y constituya una medida que, en una sociedad democrática, sea 
necesaria para [...] el bienestar económico del país». Con lo cual, «el bienestar 


(55) Artículo 6 de la Directiva 95/46/CE y artículo 5 del Reglamento General de Protección de 
Datos. Cabe destacar que el Reglamento aumenta por lo general respecto a la Directiva los derechos y 
garantías de las personas físicas respecto al tratamiento de datos personales. 

(56) Artículo 6 del Reglamento General de Protección de Datos. 

(57) Artículos 13 a 21 del Reglamento General de Protección de Datos. 

(58) GIL García, E. «Reflexiones sobre la normativa española en materia de intercambio de 
información con ocasión de la Sentencia Sabou», en MARTÍN DÉGANO, I.; HERRERA MOLINA, P. M., 
Intercambio de información y medidas fiscales de efecto equivalente. (Jornada preparatoria del Con- 
greso de la EATLP), Documento núm.8/2014 del Instituto de Estudios Fiscales, p. 45. 
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económico del país» va a ser la razón principal de la injerencia en este derecho, lo 
que ha llevado a afirmar a Avi-Yonah y Mazzoni que, en realidad, «solamente exis- 
ten salvaguardas procedimentales más que un auténtico derecho a la privacidad». 
Estas salvaguardas procedimentales serían: a) el derecho a participar en la investi- 
gación en el Estado correspondiente; b) el derecho a ser informado y c) el derecho 
a ser oído y a contradecir la decisión del Estado correspondiente. La ausencia de 
estas salvaguardas y garantías constituiría una vulneración del derecho a la privaci- 
dad de los contribuyentes (59). 

Sin embargo, no puede desconocerse la importancia de estas garantías procedi- 
mentales, que configuran el derecho a la protección de datos en materia tributaria, 
especialmente en el ámbito del intercambio internacional de información con tras- 
cendencia tributaria, pues, como destacan en un estudio reciente Baker y Pistone, 
solamente el 22% de los países analizados garantizan al contribuyente el derecho a 
ser informado antes de intercambiar información relativa a su persona con un tercer 
país, y solamente el 17% de los países garantizaban el derecho del contribuyente a 
ser oído antes del intercambio de información con el tercer país (60). 


HI. LA TUTELA DEL TEDH 


Respecto a la estructura analítica desplegada por la jurisprudencia del TEDH 
en relación con el derecho a la vida privada, en un primer paso, el Tribunal verifica 
si los hechos alegados pueden constituir una «injerencia» en dicho derecho funda- 
mental. En segundo lugar, si tal injerencia «está prevista por la ley». En tercer 
lugar, si la misma persigue alguna de las «finalidades legítimas» enumeradas en el 
artículo 8.2) del CEDH y, finalmente, examina si tal injerencia es «necesaria en 
una sociedad democrática» a fin de que ésta cumpla sus finalidades (61). 

Respecto a la noción de injerencia, según una jurisprudencia constante, 
el TEDH verifica, en primer lugar, la existencia de una injerencia en el derecho al 
respeto de la vida privada del recurrente. A tal efecto, el TEDH ha precisado que su 
misión no es examinar en abstracto la legislación y la práctica pertinentes, sino 
investigar si la forma como han sido aplicadas al recurrente en el caso concreto han 
podido vulnerar el CEDH (62). No obstante, en algún caso, como en la STEDH 
de 6 de diciembre de 2012 (recurso 12323/11), caso Michaud contra Francia, que 
versa sobre determinadas obligaciones de información de los abogados impuestas 
por la normativa sobre blanqueo de capitales, el Tribunal ha considerado que tales 


(59) Avi-YONAH, R. S. y MAZZONI, G., «Taxation and Human Rights: A delicate balance», 
Public Law and Legal Theory Research Paper Series, Universidad de Michigan, núm. 520, 5 de sep- 
tiembre de 2016. 

(60) BAKER, P.; PISTONE, P., General Report: «The practical protection of taxpayers” funda- 
mental rights», Cahiers de droit fiscal international, vol 100b, Kluwer, The Netherlands, 2015, p. 60. 

(61) Sobre ello, vid., LACHAPELLE, A., «Le respect du droit á la vie privée dans les traitements 
d'informations á des fins fiscales: état des lieux de la jurisprudence européenne (2.* partie), Revue 
Générale de fiscalité et de comptabilité pratique, núm. 10/2016, pp. 44 y ss. 

(62) En este sentido, por ejemplo, STEDH de 18 de mayo de 2010 (recurso 26839/05), caso 
Kennedy contra Reino Unido. 
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obligaciones constituyen una «injerencia permanente» sobre el derecho al respeto 
de la vida privada del recurrente. 

La noción de injerencia no implica necesariamente una acción determinada por 
parte del poder público, sino que puede producirse también por una omisión del 
mismo. En el ámbito fiscal, por ejemplo, cuando la Administración tributaria no 
adopta las garantías técnicas precisas para garantizar el secreto de los datos tributa- 
rios en el caso de intercambios automáticos de información fiscal entre distintos 
Estados o Administraciones (63). 

La jurisprudencia muestra muchos ejemplos de injerencias en el derecho al 
respeto de la vida privada en su manifestación de protección de datos personales, 
entre los que destacamos los siguientes: 


a) La decisión de la Administración fiscal de requerir a un banco que le trans- 
mita los datos bancarios de determinados clientes y la transmisión de estos datos 
una vez recabados por parte de esa Administración tributaria a una Administración 
fiscal extranjera que previamente se los había solicitado (64). 

b) La exigencia de la Administración tributaria a una persona física que le 
comunique la lista de sus gastos privados (65). 

c) El intercambio de datos fiscales relativos a un determinado contribuyente 
entre dos países de la Unión Europea a requerimiento de uno de ellos, en el marco 
de la asistencia mutua internacional en materia tributaria, sin que existiese una 
previa notificación a dicho contribuyente de tal intercambio internacional de infor- 
mación tributaria (66). 


La injerencia debe estar prevista en la ley. A tal efecto la jurisprudencia 
del TEDH ha señalado que para que la medida discutida esté prevista en la ley la 
misma debe tener una base en derecho interno, entendiendo el término ley en su 
acepción material y no formal (67). En este sentido, el Tribunal ha exigido que la 
ley sea suficientemente accesible y previsible, esto es, que esté enunciada con pre- 
cisión para permitir a un individuo adecuar su conducta a la misma (68). 

La injerencia debe perseguir una finalidad legítima. Para que la injerencia esté 
justificada es necesario que persiga un fin legítimo de los previstos en el artículo 8 
del CEDH (69). Entre las finalidades enumeradas por el precepto, tres son suscep- 
tibles de legitimar los tratamientos de información con fines fiscales: 1) la protec- 


(63) En este sentido, Lachapelle, A., Le respect du droit a la vie privée..., cit., p. 45. 

(64) STEDH de 22 de diciembre de 2015 (recurso 28601/11), caso G. S. B. contra Suiza. 

(65) Comisión EDH de 7 de diciembre de 1982 (recurso 9804/82), caso Hardy-Spirlet contra 
Bélgica. 

(66) Decisión TEDH de 16 de junio de 2015 (recurso 75292/10), caso Othymia Investments BV 
contra Holanda. 

(67) Así, por ejemplo, en la STEDH de 1 de diciembre de 2015 (recurso 69436/10), caso Brito 
Ferrinho Bexiga Villa-Nova contra Portugal. 

(68) Así, por ejemplo, en la STEDH de 22 de diciembre de 2015 (recurso 28601/11), caso G. 
S. B. contra Suiza. 

(69) En cuanto a la persecución de un fin legítimo, CASADEVALL MEDRANO, J., El convenio 
Europeo de Derechos Humanos, el Tribunal de Estrasburgo y su Jurisprudencia, Tirant Lo Blanch, 
España, 2012, p. 171, apunta que «si bien incumbe al Estado demostrar la licitud del objetivo que 
justifica su injerencia, en realidad lo tiene relativamente fácil teniendo en cuenta la vaguedad con que 
figuran formuladas las excepciones». 
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ción del bienestar económico del país; 2) la prevención de delitos y 3) La protec- 
ción de los derechos y libertades de los otros (70). 

La injerencia debe ser necesaria en una sociedad democrática. La jurispruden- 
cia ha establecido que ello implica la existencia de un fin social imperioso. Por 
tanto, no se indaga tanto si la medida es necesaria cuanto si los motivos invocados 
para justificarla son pertinentes y suficientes a la vista de ese fin social imperio- 
so (71). En este sentido, el TEDH ha subrayado en numerosas ocasiones que para 
que una injerencia sea necesaria en una sociedad democrática, en la que la toleran- 
cia y el espíritu abierto constituyen dos de sus características, tal injerencia debe 
ser claramente proporcionada al fin legítimo perseguido (72). Ese control de pro- 
porcionalidad exige realizar una ponderación entre la protección de la vida privada 
y los intereses públicos o privados que merecen igualmente protección. 

Centrando nuestra atención, en concreto, en el derecho de los contribuyentes a 
la protección de sus datos personales, el TEDH ha tenido ocasión de reiterar su 
doctrina sobre el derecho fundamental a la protección de datos personales, que 
estableciese en la famosa STEDH de 4 de diciembre de 2008, caso S. y Marper 
contra Reino Unido, en su STEDH de 22 de diciembre de 2015, en el caso GSB 
contra Suiza, precisamente, en un caso que afecta a la transmisión internacional de 
los datos fiscales de un contribuyente (73). El Tribunal ha establecido en primer 
lugar que el derecho a la protección de los datos personales juega un papel funda- 
mental en el derecho al respeto de la vida privada y, por tanto, cae en el ámbito del 
artículo 8 del CEDH. A tal efecto, establece que la legislación interna debe adoptar 
las garantías apropiadas para evitar que el tratamiento de los datos personales no 
sea conforme al artículo 8 del CEDH. La necesidad de disponer de esas garantías 
se refuerza cuando se trata de tratamientos automáticos de datos. Esas garantías 
están contempladas en la Directiva 95/46/CE (74). En segundo lugar, el TEDH 
admite que la protección de la confidencialidad de ciertos datos de carácter perso- 
nal puede decaer ante ciertos intereses legítimos del Estado (por ejemplo, garanti- 


(70) Al respecto, por ejemplo, en la STEDH de 6 de diciembre de 2012 (recurso 12323/11), 
caso Michaud contra Francia, el Tribunal ha señalado que el cumplimiento de obligaciones derivadas 
de la normativa europea de lucha contra el blanqueo de capitales constituye una finalidad legítima. En 
la Decisión del TEDH de 16 de junio de 2015 (recurso 75292/10), caso Othymia Investments BV con- 
tra Holanda, señala el Tribunal que garantizar la recaudación de los impuestos es una de las finalida- 
des legítimas que encuentran acomodo en el artículo 8.2 del CEDH, pues contribuye al bienestar eco- 
nómico del Estado. 

(71) En este sentido, por ejemplo, STEDH de 14 de marzo de 2013 (recurso 24117/08), caso 
Bernh Larsen Holding and Others contra Noruega. 

(72) Así, por ejemplo, en la STEDH de 1 de diciembre de 2015 (recurso 69436/10), caso Brito 
Ferrinho Bexiga Villa-Nova contra Portugal. 

(73) La alegación principal en este caso era una violación del derecho al respeto de la vida 
privada y familiar —además de una violación de la prohibición de no discriminación en conjunto con 
este derecho—. En concreto, el recurrente alegaba que al compartir sus datos bancarios con los EEUU, 
Suiza violaba su derecho al respeto de la vida privada y familiar porque no había una base legal sufi- 
ciente para justificar la injerencia; en todo caso, la base legal no sería suficientemente previsible; que 
el objetivo buscado con la injerencia no sería legítimo porque no podía calificarse ni por la vía del 
interés de la economía suiza —sería solo en interés de UBS SA-— ni por la vía de evitar infracciones 
penales porque la sustracción fiscal en Suiza es una infracción administrativa. 

(74) Era la Directiva vigente al momento de producirse los hechos y de recaer esta sentencia, 
actualmente habría que referirla al Reglamento General de Protección de Datos, al que venimos 
haciendo referencia constante en este trabajo. 
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zar la seguridad pública, perseguir delitos o garantizar los intereses financieros del 
Estado). En tercer lugar, el TEDH considera que hay que dejar un cierto margen de 
apreciación a las autoridades nacionales competentes para establecer un justo equi- 
librio entre el respeto al derecho a la protección de datos y los fines de interés 
público perseguidos. Finalmente, el TEDH ha constatado que el recurrente ha 
podido disfrutar de ciertas garantías procesales contra la transferencia internacio- 
nal de sus datos fiscales a los EEUU, de manera que ha podido impugnar esta 
decisión ante un tribunal. En coherencia con ello, el Tribunal considera que en el 
caso GSB contra Suiza no se ha producido una violación del artículo 8 
del CEDH (75). 

Otra resolución de importancia en esta línea es la Decisión del TEDH de 16 de 
junio de 2015 (recurso 75292/10), caso Othymia Investments BV contra Holanda, 
en relación con la petición de determinada información con trascendencia tributa- 
ria que la Administración tributaria española dirige a la Administración tributaria 
de Holanda en relación con un determinado contribuyente residente en Holanda 
pero que desarrolla actividades económicas en España (76). La autoridad fiscal 
holandesa remite a la española la información requerida sin notificar previamente 
al contribuyente esta circunstancia en el marco de la directiva sobre asistencia 
mutua internacional en materia tributaria y del Convenio de doble imposición cele- 
brado entre Holanda y España (77). El Tribunal considera que en este caso se pro- 
duce una injerencia en el derecho a la vida privada consagrado en el artículo 8 


(75) En concreto, sobre la necesidad en una sociedad democrática, el TEDH recuerda que la 
protección de los datos personales es fundamental para cumplir con las exigencias del artículo 8 y 
tiene que ser muy tenido en cuenta por los EM a la hora de ponderar los intereses privados con los 
públicos cuando van a realizar una injerencia. Para valorar la proporcionalidad, ha de tenerse en cuen- 
ta diversos factores (naturaleza del derecho en cuestión, de su importancia para el individuo en cues- 
tión, de la naturaleza y finalidad de la injerencia) y, en el presente caso, en tanto y cuanto solo se tratan 
de datos financieros, el TEDH no considera que se traten de datos estrechamente ligados a su intimi- 
dad que requirieran una protección especial. Además, como se ha apuntado, considera que el interés de 
Suiza es importante y se observa que se han respetado los derechos procesales del recurrente. Por todo 
lo anterior, se considera que esa injerencia, consistente en la transferencia de los datos de las cuentas 
financieras por parte de la autoridad fiscal Suiza a la Administración tributaria de los Estados Unidos 
de América, era necesaria para una sociedad democrática. 

(76) El contribuyente, en este caso, es una persona jurídica y, como hemos comentado anterior- 
mente, el derecho fundamental a la protección de datos personales no se predica respecto a las perso- 
nas jurídicas, sino respecto a las personas físicas. No obstante, el TEDH ha reconocido como sujeto del 
derecho a la vida privada (privacidad) reconocido en el artículo 8 del CEDH también a las personas 
jurídicas, por ejemplo, entre otras muchas, en la STEDH de 27 de septiembre de 2005 (recurso 
50882/99), caso Petri Sallinen y otros contra. Finlandia, en la que se pronuncia respecto de la aplica- 
ción del derecho a la vida privada y al domicilio reconocido en el artículo 8 del CEDH al caso de las 
sedes de las personas jurídicas, sus sucursales y locales profesionales. Por ello, el caso Othymia plan- 
tea interés desde el punto de vista de nuestro estudio dado que se refiere a un supuesto de intercambio 
de información fiscal entre Estados previo requerimiento y a la posible vulneración de los derechos 
reconocidos en el artículo 8 del CEDH, especialmente por la transmisión de documentos —como 
correos electrónicos— relativos al contribuyente a la autoridad fiscal del otro Estado y las garantías que 
para el contribuyente, en relación con la necesidad de una notificación previa al envío de esta informa- 
ción y con la concesión de un medio de defensa al contribuyente sobre la procedencia y legalidad de 
tal transmisión de datos, lo cual, lógicamente, tiene una enorme trascendencia también en el caso de 
que los intercambios de información fiscal se refieran a un contribuyente persona física, en este caso, 
además, desde el prisma de la protección de datos personales. 

(77) La Directiva entonces vigente era la 77/799/EC, que ha sido sustituida actualmente por la 
Directiva 2011/16/UE, a la que ya hemos hecho referencia anteriormente. 
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del CEDH. Sin embargo, entiende que esa injerencia está contemplada en la ley, 
dado que esta cooperación entre administraciones fiscales se produce al amparo de 
la Directiva comunitaria y de la ley interna holandesa que la traspone a su ordena- 
miento. Considera, asimismo, el Tribunal, que tal injerencia persigue un fin legíti- 
mo amparable en los objetivos contemplados en el artículo 8.2 del CEDH, cual es 
el de garantizar la correcta exacción de los impuestos por parte, en este caso, de la 
Administración tributaria de uno de los Estados miembros de la Unión Europea, 
dado que ello tiene una relación directa con el logro del «bienestar económico del 
país» a que expresamente alude el artículo 8.2 del CEDH. Finalmente, se cuestiona 
el Tribunal si esa injerencia es necesaria en una sociedad democrática y, en este 
punto, el TEDH acude expresamente a la doctrina sentada por el TJUE en el caso 
Sabou (78), —al que nos referiremos posteriormente— para convenir en la necesidad 
y proporcionalidad de la medida, ya que el intercambio de información fiscal rela- 
tiva al contribuyente se produce en una fase de investigación en el país requirente 
de la información tributaria respecto a las actividades económicas del mismo y de 
su situación tributaria sin que, a tal efecto, de acuerdo con la Directiva sobre asis- 
tencia mutua en materia fiscal entonces vigente, constituya un derecho del contri- 
buyente el ser notificado por el Estado que recaba y transmite la información que le 
afecta con carácter previo al intercambio de información sobre esta circunstancia, 
previéndose, no obstante, en la normativa interna holandesa esta obligación en los 
casos de asistencia mutua, pero quedando la misma excepcionada en supuestos de 
urgencia en la transmisión de información o de sospechas fundadas de fraude fiscal 
del contribuyente, como la autoridad fiscal holandesa entendió que sucedía en este 
caso. Por ello, en definitiva, el Tribunal declaró el recurso articulado con base en el 
artículo 8 en relación con el artículo 13 del CEDH inadmisible, ya que entendió 
que el contribuyente no tenía derecho en este caso a una notificación o información 
previa sobre la petición de intercambio de información cursada por la autoridad 
fiscal española a la holandesa y a que se abriese para el contribuyente en esta fase 
la posibilidad de recurrir ese intercambio de información, pudiendo éste, no obs- 
tante, obtener información ex post sobre el procedimiento de intercambio de infor- 
mación y pudiendo, en consecuencia, recurrir la decisión de cooperación adminis- 
trativa O la legalidad del procedimiento seguido para ello. 

La doctrina, en referencia a estos pronunciamientos del TEDH, ha puesto de 
manifiesto que el Tribunal no ha sido muy enérgico en la apreciación de garantías 
para el contribuyente, especialmente en relación con su derecho a la protección de 
datos, en los procedimientos de intercambio de información entre Administracio- 
nes tributarias de distintos Estados. A la vista de ello, podría parecer que el derecho 
a la protección de datos no es relevante en los casos de intercambios de datos fisca- 
les, lo cual no es cierto, dado que la normativa europea sobre protección de datos 
personales de las personas físicas es aplicable también en estos intercambios de 
datos fiscales (79). 

Una Sentencia posterior del TEDH, de 27 de junio de 2017 (recurso 931/13), 
caso Satakunnan Markkinapóorssi OY y Satamedia OY contra Finlandia, dictada por 
la Gran Sala del Tribunal, consideramos que tiene interés en esta materia porque se 


(78) El TEDH se apoya en la doctrina sentada por la STJUE de 22 de octubre de 2013 (asunto 
C-276/12), caso Sabou. 
(79) Cfr. SCHAPER, M., Data protection rights...., cit., p. 518. 
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ha mostrado claramente garantista del derecho a la protección de datos personales en 
materia fiscal con base en el artículo 8 del CEDH, si bien, el caso no se refería al 
intercambio internacional de datos fiscales entre Administraciones tributarias, sino a 
la publicación por parte de dos empresas del sector editorial de datos de los contribu- 
yentes finlandeses relativos a su patrimonio y a su renta imponible, lo que ponía en 
tensión el derecho al respeto de la vida privada, especialmente la protección de datos 
personales, y el derecho a la libertad de expresión y de información consagrado en el 
artículo 10 del CEDH (80). El Tribunal señala que el hecho de que la información 
cuestionada sea ya de dominio público no la sustrae necesariamente de la protección 
otorgada por el artículo 8 del CEDH. Al respecto, el Tribunal establece que la protec- 
ción de datos de carácter personal juega un papel fundamental para el ejercicio del 
derecho al respeto de la vida privada y familiar consagrado en el artículo 8 del CEDH. 
Por ello, la legislación interna de los Estados debe establecer las garantías apropiadas 
para evitar toda utilización de datos de carácter personal que no sea conforme a las 
garantías establecidas por el artículo 8 del CEDH (81). Por ello, el Tribunal concluye 
que los datos recopilados, tratados y publicados por las dos sociedades demandantes 
relativos a la renta y al patrimonio neto imponible de millones de contribuyentes 
finlandeses entran de lleno en la vida privada de los mismos, con independencia de 
que, de conformidad con el derecho finlandés, el público tenga derecho a acceder a 
estos datos bajo ciertas reglas o condiciones (82). 


IV. LA TUTELA DEL TJUE 


El Tribunal de Justicia de la Unión Europea sigue un esquema analítico similar 
al seguido por el Tribunal Europeo de Derechos Humanos. Comprueba, en primer 


(80) Para comprender el caso, hay que tener presente que en Finlandia no existe, a diferencia de 
lo que ocurre en España y en otros países de nuestro entorno, el secreto fiscal tal y como lo conocemos 
en nuestro Ordenamiento, esto es, no existe un precepto de alcance similar al artículo 95 de nuestra LGT 
que establece el carácter reservado de los datos tributarios en poder de la Administración, que solo pue- 
den ser cedidos a terceros en los casos expresamente previstos en la ley, antes bien, en aquel país los datos 
sobre la declaración de la renta y el patrimonio de los contribuyentes pueden ser consultados por los 
ciudadanos bajo determinadas condiciones, solicitándolo a tal efecto a la Administración tributaria. El 
problema surge porque dos empresas del sector editorial (Satakunnan y Satamedia) publican los datos 
fiscales (patrimonio y renta imponible) de millones de contribuyentes finlandeses en sus revistas y, ade- 
más, llegaron a establecer un sistema de mensajería por el que a través de un SMS de móvil ponen a 
disposición de los lectores interesados los datos fiscales de cualquier contribuyente en el que tengan 
interés. Es precisamente el tratamiento de estos datos personales a través del servicio de mensajería elec- 
trónica y el fin comercial que guía a estas empresas, lo que pone el acento sobre la posible vulneración 
del derecho a la protección de datos personales de los contribuyentes con base en el artículo 8 del CEDH. 

(81) De forma clara incluye esta Sentencia del TEDH que estamos comentando el derecho a la 
protección de datos personales en el ámbito del artículo 8 del CEDH, señalando al respecto que «el 
artículo 8 del Convenio consagra así el derecho a una forma de autodeterminación informativa, que 
autoriza a las personas a invocar su derecho a la vida privada en lo que concierne a los datos que, 
aunque neutros, son recolectados, tratados y difundidos a la colectividad, de acuerdo con formas o 
modalidades tales que sus derechos reconocidos en el artículo 8 puedan ser puestos en juego». 

(82) El Tribunal, finalmente, tras el detenido examen de la cuestión y de establecer el adecua- 
do balance entre el derecho a la protección de datos personales y la libertad de información periodísti- 
ca consagrada en el artículo 10 del CEDH, constata que no ha existido en este caso una violación de la 
libertad de información. 
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lugar, si el acto impugnado constituye una «infracción» o «injerencia» de los dere- 
chos reconocidos por los artículos 7 y 8 de la Carta y examina si tal injerencia se 
justifica a la luz del artículo 52.1 de la misma. Este artículo se refiere a una cons- 
trucción similar a la del artículo 8.2 del CEDH: la injerencia debe 1.%) «estar pre- 
vista por la ley» y 2.%) debe respetar el «contenido esencial» del derecho a la priva- 
cidad y a la protección de datos de carácter personal. 3.”). Debe responder 
efectivamente a objetivos de interés general reconocidos por la Unión o a la nece- 
sidad de proteger los derechos y libertades de los demás. 4.9). Finalmente, esa res- 
tricción debe ser necesaria y respetar el principio de proporcionalidad. 

La noción de infracción o injerencia en la Carta es equiparable a la noción de 
injerencia en el CEDH, de manera que el TJUE utiliza las dos expresiones indistin- 
tamente. A tal efecto, el TJUE verifica, en primer lugar, la existencia de un trata- 
miento de datos de carácter personal en el sentido del artículo 4 del vigente 
RGPD (83). A continuación, el TJUE verifica si esa injerencia está prevista por la 
ley. Esta exigencia implica que la base legal que permite la medida atentatoria, el 
intercambio, la recogida, el almacenamiento de los datos, etc., es suficientemente 
clara y precisa (84). 

La injerencia en el derecho a la protección de datos personales debe responder 
a objetivos de interés general reconocidos por la Unión Europea. Por ejemplo, uno 
de esos objetivos es la transparencia (85). En el ámbito fiscal, la lucha contra el 
fraude y la evasión de impuestos es un objetivo reconocido por la UE. 

La injerencia debe ser necesaria y proporcionada. Según una jurisprudencia 
constante el principio de proporcionalidad exige que los medios puestos en prácti- 
ca por un acto de la Unión, por una parte, sean aptos para cumplir el objetivo per- 
seguido y, por otra parte, que no vayan más allá de lo necesario para conseguir- 
lo (86). En este sentido, por ejemplo, en la STJUE de 16 de diciembre de 2008, 
asunto C-73/07, caso Satamedia, el Tribunal ha señalado que la derogación a la 
protección de los datos de carácter personal y las limitaciones de este derecho 
deben realizarse en lo estrictamente necesario. 

Respecto a la justificación de la injerencia el TJUE se muestra más protector 
que el TEDH, no obstante, también el TJUE termina refiriendo esas justificaciones 
al contexto de una sociedad democrática. 

En relación con los casos relativos, más en concreto, a la protección del dere- 
cho fundamental a la protección de datos personales del contribuyente en el con- 


(83) Hay que tener en cuenta que, dada la reciente entrada en vigor del RGPD, las sentencias 
del TJUE se refieren a tal efecto al artículo 2 de la Directiva 95/46, de contenido similar. 

(84) Así, por ejemplo, STJUE de 17 de diciembre de 2015, asunto C-419/14, caso WebMindLi- 
censes. 

(85) Como se señala en la STJUE de 9 de noviembre de 2010, asuntos acumulados C-92/09 y 
C-93/09, caso Markus Schecke. 

(86) En este sentido, por ejemplo, STJUE de 8 de abril de 2014, asunto C-293/12, caso Digital 
Rights Ireland Ltd, que señala que «el principio de proporcionalidad exige que los actos de las institu- 
ciones de la Unión sean adecuados para lograr los objetivos legítimos perseguidos por la normativa 
de que se trate y no rebasen los límites de lo que resulta apropiado y necesario para el logro de dichos 
objetivos». Respecto al control jurisdiccional de la observancia de estos requisitos, señala esta STJUE 
que, «dado que se trata de injerencias en los derechos fundamentales, el alcance de la facultad de 
apreciación del legislador de la Unión puede resultar limitado en función de una serie de factores, 
entre los que figuran, en particular, el ámbito afectado, el carácter del derecho en cuestión garantiza- 
do por la Carta, la naturaleza y la gravedad de la injerencia, así como la finalidad de ésta». 
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texto del intercambio internacional de información con trascendencia tributaria, el 
Tribunal de Justicia de la Unión Europea trata por primera vez cómo se ven afecta- 
dos los derechos de los contribuyentes en el marco de un intercambio de informa- 
ción que se produce previo requerimiento de una autoridad fiscal de un Estado a 
otro Estado en su Sentencia de 22 de octubre de 2013 (asunto C-276/12), caso 
Sabou. En ella, se plantea ante el TJUE si el contribuyente tiene derecho a ser 
informado de la decisión de la Administración tributaria de solicitar información, y 
si tiene derecho a participar en el examen de testigos en el Estado miembro reque- 
rido en el marco de la tramitación de una solicitud de información. Además, se 
plantea si el contribuyente puede cuestionar la exactitud de la información comuni- 
cada. 


1. En primer lugar, el Tribunal establece que de la Directiva 77/799, cuyo 
objeto es regular la colaboración entre las Administraciones tributarias de los Esta- 
dos Miembros, se extraen obligaciones para los Estados; pero no atribuye derechos 
específicos a los contribuyentes ni impone a las autoridades competentes ninguna 
obligación de consultar a aquellos (87). 

2. En el marco de los procedimientos tributarios, se distinguen una fase de 
investigación y una fase contradictoria, en la que intervienen el contribuyente con- 
tra quien se dirige el procedimiento y la propia Administración tributaria. Dado 
que la solicitud de asistencia entre Administraciones y las actuaciones inspectoras, 
entre las que se encuentra el examen de peritos, forman parte de la fase previa de 
investigación, el respeto del derecho de defensa del contribuyente no exige que éste 
participe en la solicitud de información dirigida por el Estado miembro requirente 
al Estado miembro requerido, al mismo tiempo que tampoco exige que el contribu- 
yente sea oído en el momento en que en el Estado miembro requerido se lleven a 
cabo actuaciones inspectoras (...) ni que sea oído antes de que dicho Estado miem- 
bro transmita información al Estado miembro requirente. 

Por tanto, puede concluirse que no existe un derecho del contribuyente a ser 
informado de la solicitud de asistencia dirigida de un Estado miembro a otro para 
verificar sus datos fiscales, ni tampoco un derecho a participar en las actuaciones 
llevadas a cabo por las Administraciones durante la fase de investigación. Sin 
embargo, el Tribunal de Justicia precisa que es posible que la normativa interna de 
un Estado miembro extienda el derecho a ser oído a actuaciones de la fase de ins- 
pección. 

3. Finalmente, respecto a la tercera cuestión, el TJUE señala que tampoco se 
contempla el derecho del contribuyente a cuestionar la exactitud de la información 
transmitida. 


De aquí se deriva que las normas correspondientes deban establecerse en los 
Derechos nacionales, de forma que el contribuyente podrá cuestionar la informa- 
ción que le concierne transmitida a la Administración tributaria del Estado miem- 
bro requirente según las normas de procedimiento aplicables en el Estado miem- 
bro de que se trate. 


(87) STJUE de 22 de octubre de 2013, asunto C-276/12, caso Sabou. 
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El TJUE matiza, avanza y completa esta doctrina en su Sentencia de 1 de octu- 
bre de 2015 (88). Se trata de otro procedimiento prejudicial en el que el órgano 
jurisdiccional remitente pregunta si la aplicación de la Directiva 95/46/CE se opone 
a normas que permitan a una Administración Pública de un Estado miembro trans- 
mitir datos personales a otra Administración pública y el subsiguiente tratamiento 
de estos datos sin que los interesados sean informados de dicha transmisión ni del 
tratamiento. 

El Tribunal destaca la importancia de la exigencia de información a los intere- 
sados recogida en el artículo 10 de la citada Directiva, señalando que es condición 
necesaria para que puedan ejercer sus derechos de acceso y rectificación de los 
datos y de oposición al tratamiento; por consiguiente, determina que la exigencia 
de tratamiento leal de los datos personales que prevé el artículo 6 de la Directiva 
obliga a la Administración Pública a informar a los interesados de la transmisión de 
los datos a otra Administración (89). 

Sin embargo, el TJUE analiza, a continuación, las posibles excepciones recogi- 
das en el artículo 13 de la Directiva 95/46, —mencionadas anteriormente—, para 
comprobar si en el caso concreto era posible aplicar una de ellas para evitar la 
obligación de informar. Así, dado que tales limitaciones deben establecerse 
mediante medidas legales, según exige el artículo 13, y que la resolución que elimi- 
naba dicha obligación fue aprobada mediante un Protocolo que no fue objeto de 
publicación oficial, el Tribunal declara que no concurren los requisitos previstos 
por la Directiva para que un Estado miembro pueda establecer excepciones a los 
derechos y obligaciones del artículo 10 de la misma (90). 

De esta forma, el TJUE mantiene recientemente una posición más garantista de 
los derechos de los contribuyentes al aplicar una doctrina restrictiva respecto de las 
posibilidades de los Estados miembros para limitar los derechos recogidos por la 
Directiva 95/46 y actualmente por el Reglamento General de Protección de Datos. 
Y ello se ha corroborado, sin lugar a dudas, en dos Sentencias más recientes, 
la STJUE de 16 de mayo de 2017, asunto C-682/15, caso Berlioz Investment Fund, 
y en la STJUE de 27 de septiembre de 2017, asunto C-73/16, caso Peter Puskár. En 
la primera de ellas, el Tribunal ha declarado que el artículo 1, apartado 1, y el 


(88) STJUE de 1 de octubre de 2015, asunto C-201/14, caso Smaranda Bara y otros. 

(89) En el mismo sentido, SÁNCHEZ LóPEZ, M. E., El problema de la protección del contribu- 
yente..., cit., p. 12, señala que la obligación de información al titular de los datos personales objeto de 
tratamiento automatizado se erige en la condición necesaria para que éste pueda ejercer sus derechos 
de acceso, rectificación y cancelación en relación con sus datos personales. 

(90) Enel caso concreto, los recurrentes impugnaban la legalidad de la transmisión de los datos 
fiscales relativos a sus ingresos con arreglo a la Directiva 95/46, alegando que esos datos personales se 
habían transmitido y utilizado sin otra base que un protocolo interno para fines distintos de aquellos 
para los que se habían comunicado inicialmente a la ANAF, sin su consentimiento expreso y sin haber 
sido previamente informados de ello. Por su parte, los organismos públicos alegaban que quedaban 
obligados por el artículo 315 de la Ley 95/2006 a transmitir a las cajas nacionales del seguro de enfer- 
medad los datos necesarios para que la CNAS pudiera determinar la condición de asegurados de las 
personas que obtienen ingresos de actividades por cuenta propia. Sin embargo, el TJUE señala que el 
artículo 315 citado no hacía sino contemplar, como principio, la transmisión de los datos personales en 
poder de las autoridades, instituciones públicas y otras instituciones; pero la definición de los datos 
que pueden transmitirse y las disposiciones de aplicación de la transmisión de esos datos no se elabo- 
raron mediante una medida legal, sino mediante un Protocolo de 2007 celebrado por la ANAF y 
la CNAS, que no fue objeto de publicación oficial. 
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artículo 5 de la Directiva 2011/16 deben interpretarse en el sentido de que la «per- 
tinencia previsible» de la información solicitada por un Estado miembro a otro 
Estado miembro constituye un requisito que debe cumplir la solicitud de informa- 
ción para que el Estado miembro requerido esté obligado a tramitarla y, en conse- 
cuencia, un requisito de legalidad de la decisión de requerimiento dirigida por este 
Estado miembro a un administrado y de la medida sancionadora impuesta a éste 
último por no atender dicha decisión (91). 

En el caso Berlioz, resuelto por esta Sentencia, nos encontramos, por tanto, en 
el ámbito del intercambio de información fiscal previo requerimiento, si bien, a 
diferencia del caso Sabou, en el que se dilucidaba el derecho del contribuyente que 
era objeto de una inspección fiscal en el Estado miembro requirente de informa- 
ción a otro Estado miembro de participar en el procedimiento relativo a tal solici- 
tud de información, la cuestión principal sobre la que debe pronunciarse el Tribu- 
nal en este caso versa «sobre la existencia del derecho a la tutela judicial de un 
administrado del Estado miembro requerido contra una medida sancionadora 
impuesta a tal administrado por no atender una decisión de requerimiento adopta- 
da frente a él por la autoridad requerida a raíz de una solicitud de información 
dirigida a esta autoridad por la autoridad requirente». A tal efecto, el Tribunal 
concluye que el interesado puede impugnar la legalidad de la decisión administra- 
tiva por la que se le requiere para que aporte información en el marco de un inter- 
cambio de información entre Administraciones tributarias nacionales en virtud de 
la Directiva 2011/16. En relación con ello, el Tribunal pone el acento en la cualidad 
de «pertinencia previsible» que debe reunir la información solicitada para la vali- 
dez de la solicitud de información (92). De ello deriva que el contribuyente al que 
su Administración tributaria le dirige un requerimiento de información en cumpli- 
miento de una solicitud de información cursada por la autoridad fiscal de otro Esta- 
do tiene el derecho de invocar ante un juez la falta de conformidad de la solicitud 
de información con el artículo 5 de la Directiva 2011/16 —falta de pertinencia pre- 
visible de la información-— y la ilegalidad del requerimiento que su Administración 
fiscal le haya dirigido resultante de ello. La tutela judicial efectiva en este caso 
obliga a que el juez que conozca del recurso del contribuyente concernido por la 
solicitud de información tenga acceso al documento remitido por la autoridad 
requirente de la información fiscal, esto es, a la solicitud de información remitida 
al Estado requerido, a fin de poder examinar una eventual falta de pertinencia pre- 
visible de la información solicitada. En cambio, el propio contribuyente no tendría 


(91) Como destaca GELLA, F., «L'Unione Europea e l'illusione degli automatismi collaborativi: 
cautele e precisazione della Corte di giustizia in materia di indagini tributarie», DPCE on line, 2017/3, 
p. 710, la doctrina sentada por la Sentencia Berlioz en la medida en que ha reconocido al juez nacional 
un acceso pleno a la información transmitida por la administración tributaria requirente (al requeri- 
miento de información) con la finalidad de comprobar la previsible pertinencia de la información 
solicitada, modifica sensiblemente la praxis aplicativa del automatismo colaborativo introducido en la 
Directiva. 

(92) Como destaca la STJUE de 16 de mayo de 2017, caso Berlioz, el concepto de «pertinencia 
previsible» refleja el utilizado en el artículo 26 del modelo de Convenio fiscal de la OCDE y, «según 
los comentarios relativos a dicho artículo efectuados por el Consejo de la OCDE el 17 de julio 
de 2012, los Estados contratantes no pueden ir a la caza de información o solicitar información que 
probablemente no sea pertinente para esclarecer los asuntos fiscales de un contribuyente determina- 
do. Antes al contrario, tiene que existir una posibilidad razonable de que la información solicitada 
resulte pertinente». 
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un derecho de acceso a la solicitud de información, dado el carácter secreto de este 
documento conforme al artículo 16 de la Directiva 2011/16 (93). Ahora bien, el 
Tribunal le reconoce, a fin de preservar el derecho de defensa y el principio de 
igualdad de armas, el derecho a acceder a la información mínima a que se refiere el 
artículo 20.2 de la Directiva 2011/16, a saber, «la identidad del contribuyente de 
que se trate y el objetivo fiscal para el que se pide la información» (94). 

Pues bien, desde nuestro punto de vista, la importancia de esta Sentencia del 
caso Berlioz es evidente a efectos de garantizar un control efectivo de la pertinen- 
cia previsible de la información solicitada y, aunque no se menciona expresamente, 
ello despliega también una importancia decisiva en torno a la garantía del propio 
derecho a la protección de datos del contribuyente sujeto a estos intercambios de 
información, en primer lugar, porque los mismos han de desarrollarse respetando 
lo dispuesto en la normativa reguladora de la protección de datos a nivel europeo 
(artículo 25 de la Directiva 2011/16) y ello constituye, por tanto, también un canon 
para enjuiciar la legalidad de la solicitud de información y, en segundo lugar, por- 
que el propio contribuyente afectado —y también la administración tributaria reque- 
rida y el propio tribunal que conozca de un recurso contra el requerimiento de 
información dirigido al contribuyente— pueden llevar a cabo un control de los datos 
personales contenidos en la solicitud de información, de manera que si estos son 
incorrectos, insuficientes o inexactos, ello podría determinar la falta manifiesta de 
pertinencia previsible de la solicitud de información. 

En la segunda de las sentencias a las que nos referíamos, la pronunciada en el 
caso Puskár, el Tribunal ha concluido que el artículo 7. Letra e) de la Directiva 
95/46 debe interpretarse en el sentido de que no se opone a que, sin que medie el 
consentimiento de los interesados, las autoridades de los Estados miembros traten 
datos personales a efectos de recaudación y de lucha contra el fraude fiscal, tal 
como se hizo en el litigio principal mediante la elaboración de una lista de testafe- 
rros, siempre que, por un lado, la normativa nacional confiera a dichas autoridades, 
a efectos de la disposición mencionada, misiones de interés público, que la elabo- 
ración de la lista y la inclusión en la misma de los interesados sean efectivamente 
idóneas y necesarias para cumplir los objetivos perseguidos y que existan motivos 
suficientes para presumir que la inclusión de los interesados en la lista obedece a 
un motivo y siempre que, por otro lado, concurran todas las condiciones a que obli- 
ga la propia Directiva 95/46 para que ese tratamiento de datos personales sea líci- 


to (95). 


(93) Como señala el Tribunal, «tal carácter secreto se explica por la discreción que debe mos- 
trar normalmente la autoridad requirente en la fase de recogida de información y que ésta tiene dere- 
cho a esperar de la autoridad requerida, a fin de no mermar la eficacia de su investigación». 

(94) Además, señala la Sentencia que si el juez considera que esa información no es suficiente 
y ha solicitado datos complementarios en relación con la solicitud de información, «tendrá la obliga- 
ción de aportar tales datos complementarios al administrado de que se trate, sin dejar de tener en 
cuenta debidamente la eventual confidencialidad de algunos de esos datos». 

(95) Conviene destacar, como hace el Tribunal, que el artículo 7. Letra e) de la Directiva 95/46 
dispone que el tratamiento de datos personales es lícito si «es necesario para el cumplimiento de una 
misión de interés público o inherente al ejercicio del poder público conferido al responsable del trata- 
miento o a un tercero a quien se comuniquen los datos». Pues bien, para el Tribunal la elaboración de 
la lista de testaferros por parte de la Administración tributaria puede estar comprendida en el ámbito de 
esta disposición, «porque debe considerarse que la recaudación y la lucha contra el fraude fiscal, que 
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Además de estas sentencias del TJUE que hemos comentado y que se refieren 
a casos de naturaleza tributaria, esencialmente, en relación con el intercambio de 
información fiscal a nivel internacional que se produce previo requerimiento, el 
TJUE ha dictado en fechas relativamente recientes algunas sentencias de capital 
importancia en relación con el derecho a la protección de datos personales que si 
bien no se refieren a casos relativos a la materia tributaria, si que han tenido o pue- 
den tener una evidente proyección también en relación con los datos de carácter 
fiscal. La primera de esas sentencias es la STJUE de 8 de abril de 2014, asuntos 
acumulados C-293/12 y C-594/12, casos Digital Rights Ireland Ltd y Seitlinger y 
otros, que anula la Directiva 2006/24/CE del Parlamento Europeo y del Consejo, 
de 15 de marzo de 2006, sobre la conservación de datos generados o tratados en 
relación con la prestación de servicios de comunicaciones electrónicas de acceso 
público o de redes públicas de comunicaciones y por la que se modifica la Directi- 
va 2002/58/CE. La Sentencia versa sobre la obligación que la Directiva cuestiona- 
da imponía a los prestadores de servicios de comunicaciones electrónicas de acce- 
so público o de redes públicas de comunicaciones de conservar los datos tratados 
en relación con la prestación de sus servicios por un período no inferior a 6 meses 
ni superior a 2 años, por motivos de lucha contra el terrorismo y la delincuencia 
organizada, y que, a juicio del Tribunal, constituye una injerencia en el derecho a la 
protección de datos que no respeta el principio de proporcionalidad (96). El Tribu- 
nal resalta la importancia del derecho a la protección de datos de carácter personal 
para el respeto del derecho a la vida privada consagrado en el artículo 7 de la Carta 
y, a tal efecto, establece que «la normativa de la Unión de que se trate debe esta- 
blecer reglas claras y precisas que regulen el alcance y la aplicación de la medida 
en cuestión y establezcan unas exigencias mínimas de modo que las personas 
cuyos datos se hayan conservado dispongan de garantías suficientes que permitan 
proteger de manera eficaz sus datos de carácter personal contra los riesgos de 
abuso y contra cualquier acceso o utilización ilícitos respecto de tales datos». 
Puntualizando que «la necesidad de disponer de tales garantías es especialmente 
importante cuando, como establece la Directiva 2006/24, los datos personales se 
someten a un tratamiento automático y existe un riesgo elevado de acceso ilícito a 
dichos datos». 

La doctrina ha trasladado rápidamente las exigencias derivadas de esta impor- 
tante sentencia del TJUE al intercambio automático de información fiscal contem- 
plado en la Directiva 2011/16 (97). Incluso el Legislador, con la reforma introduci- 


son los fines con los que se elaboró la lista controvertida, son efectivamente misiones de interés públi- 
co a efectos de la disposición mencionada». 

(96) Para el Tribunal, la enorme magnitud de los datos recabados por estos operadores de 
comunicaciones electrónicas y el carácter necesario de la conservación de los mismos impuesto por la 
Directiva 2006/24, con el objetivo de luchar contra la delincuencia grave (especialmente terrorismo y 
delincuencia organizada), no resulta proporcionado, pues «este objetivo de interés general, por funda- 
mental que sea, no puede por sí solo justificar que una medida de conservación como la establecida 
por la Directiva 2006/24 se considere necesaria a los efectos de dicha lucha». 

(97) En este sentido, por ejemplo, HUANG, X., Ensuring Taxpayer Rights..., cit., p. 235 consi- 
dera que la jurisprudencia del TJUE en relación con la recolecta y almacenamiento de datos en el 
sector de las telecomunicaciones es aplicable a sectores en los que se produce un intercambio automá- 
tico de información, como es el caso del intercambio de datos fiscales. Y ello porque, a juicio del autor, 
la recogida y transferencia masiva de datos es comparable en uno y otro sector. En mi opinión y sin 
restar validez a estas tesis, tal aplicación de esta jurisprudencia sentada en relación con los datos trata- 


525 AFDUAM 22 (2018) 


LA TUTELA MULTINIVEL DEL DERECHO A LA PROTECCIÓN DE DATOS PERSONALES... 


da en el artículo 25 de la Directiva 2011/16 por la Directiva 2014/107/UE, de 9 de 
diciembre de 2014, ha traslado al menos parte de esas exigencias a la propia Direc- 
tiva sobre cooperación administrativa en materia tributaria, sobre todo, habida 
cuenta de la ampliación del ámbito del intercambio automático de información 
fiscal (98). En concreto, por lo que a la conservación de los datos tratados se refie- 
re, señala el artículo 25. 4 de la Directiva que la información se conservará durante 
un período de tiempo no superior al necesario para lograr los fines de la presente 
Directiva, y en cualquier caso, de acuerdo con la normativa nacional en materia de 
plazos observada por cada responsable del tratamiento de datos (99). 

Para finalizar, debemos hacer mención también a otra importante sentencia 
del TJUE, en la que el Tribunal se ha pronunciado sobre el llamado «derecho al 
olvido», que, lógicamente, puede tener una importante proyección en materia tri- 
butaria. Se trata de la STJUE de 13 de mayo de 2014, asunto C-131/12, caso Goo- 
gle (100), en la que el Tribunal ha dejado clara la responsabilidad de los buscadores 


dos por los servicios de telecomunicaciones al intercambio automático de información fiscal en el 
plano internacional quizá haya de hacerse con alguna matización, ya que desde un punto de vista 
cuantitativo y también cualitativo, los datos recabados y tratados por los servicios de telecomunicacio- 
nes (telefonía, internet, etc.) prácticamente comprenden a toda la población europea y son datos sensi- 
bles en el sentido de que pueden producir una fuerte injerencia en la vida privada de las personas, lo 
cual, trasladado al ámbito del intercambio automático de información fiscal no supone desde un punto 
de vista cuantitativo una recolecta y tratamiento de datos tan amplio, ni tampoco desde un punto de 
vista cualitativo podrá tratarse en la mayoría de casos de datos especialmente sensibles. 

(98) Así, el nuevo apartado 3 del artículo 25 de la Directiva 2011/16, señala que «sin perjuicio 
de lo dispuesto en el apartado 1, cada Estado miembro garantizará que toda institución financiera 
obligada a comunicar información bajo su jurisdicción comunique a toda persona física sujeta a 
comunicación de información que la información sobre ella a que se refiere el artículo 8, apartado 3 
bis, será recopilada y transferida con arreglo a la presente Directiva y que la institución financiera 
obligada a comunicar información facilite a dicha persona física toda la información a la que deba 
tener acceso con arreglo a la legislación nacional de desarrollo de la Directiva 95/46/CE, se facilitará 
con suficiente antelación para que la persona física pueda ejercer su derecho a la protección de sus 
datos personales y, en cualquier caso, antes de que la institución financiera obligada a comunicar 
información en cuestión comunique a la autoridad competente de su Estado miembro de residencia la 
información a la que se refiere el artículo 8, apartado 3 bis». 

(99) Al respecto, HUANG, X., Ensuring Taxpayer Rights..., cit., p. 233 y ss., critica que la 
Directiva no haya contemplado un plazo máximo de conservación de los datos recabados que son 
objeto de intercambio y que haya dejado esta cuestión a lo que fije la normativa interna de cada Estado 
miembro. 

(100) Viene a señalar la STJUE de 13 de mayo de 2014 que «en relación con el artículo 12, 
letra b), de la Directiva 95/46, cuya aplicación está sometida al requisito de que el tratamiento de 
datos personales sea incompatible con dicha Directiva, es necesario recordar que, como se ha señala- 
do en el apartado 72 de la presente sentencia, tal incompatibilidad puede resultar no solo de que los 
datos sean inexactos, sino en particular, de que sean inadecuados, no pertinentes y excesivos en rela- 
ción con los fines del tratamiento, de que no estén actualizados o de que se conserven durante un 
período superior al necesario, a menos que se imponga su conservación por fines históricos, estadís- 
ticos o científicos. 

Se deduce de estos requisitos, establecidos en el artículo 6, apartado 1, letras c) a e), de la Direc- 
tiva 95/46, que incluso un tratamiento inicialmente lícito de datos exactos puede devenir, con el tiem- 
po, incompatible con dicha Directiva cuando estos datos ya no sean necesarios en relación con los 
fines para los que se recogieron o trataron. Éste es el caso, en particular, cuando son inadecuados, no 
pertinentes o ya no pertinentes o son excesivos en relación con estos fines y el tiempo transcurrido. 

Por consiguiente, en el supuesto en el que se aprecie, tras una solicitud del interesado en virtud 
del artículo 12, letra b), de la Directiva 95/46, que la inclusión en la lista de resultados obtenida como 
consecuencia de una búsqueda efectuada a partir de su nombre, de vínculos a páginas web, publica- 
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de Internet, la aplicabilidad de la normativa en relación a la protección de datos y 
los derechos de los ciudadanos. La articulación de este derecho, que el nuevo 
Reglamento General de Protección de Datos regula de forma expresa, surge como 
consecuencia de los perjuicios y daños que puede causar el rastro de la información 
en Internet cuando dicha información ya está desactualizada o es incorrecta (101). 
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